Постановка задачи

На компьютере под управлением Astra Linux требуется настроить разделение прав прямого доступа пользователей к оптическим дискам. При этом должны быть разграничены права пользователей на прямое чтение (копирование) и запись оптических дисков.

Особенности применения

Приводы оптических дисков представлены устройствами /dev/sr* с дискреционными правами доступа на чтение и запись для пользователя root (владельца) и группы cdrom:

1. Правило UDEV, присваивающее устройству тег uaccess. Это правило /usr/lib/udev/rules.d/70-uaccess.rules (правило /lib/udev/rules.d/70-uaccess.rules для Astra Linux выпущенных ранее обновления x.7). В указанном правиле перечислены различные типы устройств, доступ к которым должен быть общим. При подключении устройств такого типа правило присваивает устройству тег uaccess.
2. Правило UDEV, присваивающее устройствам, имеющим тег uaccess, списки доступа (ACL), разрешающие доступ из сессий активных пользователей. Это правило 73-seat-late.rules, расположенное в том же каталоге, что и правило 70-uaccess.rules. Подробнее про ACL см. статью Списки управления доступом к файловым объектам (ACL) в Astra Linux.
3. Далее наличие тега uaccess проверяется службами systemd при входе в пользовательскую сессию и устройствам, имеющим тег, присваивается атрибут ACL (см. Списки управления доступом к файловым объектам (ACL) в Astra Linux) разрешающий пользователю прямое чтение и запись.

Из сессии пользователя права доступа к устройству выглядят так:

Решение

Для отключения автоматически предоставляемого общего доступа следует отменить назначение ACL, этот доступ разрешающий, то есть удалить тег uaccess из атрибутов устройства. Для этого:

1. Создать правило udev, которое будет выполняться после правила 73-seat-late.rules и удалять (переназначать) ACL. Например, создать файл 74-uaccess-astra.rules (порядок выполнения правил определяется алфавитной сортировкой имен файлов с правилами). Файл разместить в том же каталоге, в котором находится правило 73-seat-late.rules. Пример правила:

   SUBSYSTEM!="block", GOTO="END"
   KERNEL!="sr[0-9]*", GOTO="END"
   RUN+="/usr/bin/logger 'Astra UDEV: set access for device %E{DEVNAME}'"
   LABEL="END"

   Данное правило не выполняет никаких действий кроме записи в журнал. В правиле:

   1. команды SUBSYSTEM=="block", KERNEL=="sr[0-9]*" выбирают блочные устройства с именем sr*;
   2. команда RUN+="/usr/bin/logger 'Astra UDEV: set access for device %E{DEVNAME}'" выполняет запись в системный журнал (необязательное действие);
2. Для того, чтобы при входе пользователя устройству автоматически не назначалось разрешение доступа для этого пользователя удалить тег uaccess:
   

   SUBSYSTEM!="block", GOTO="END"
   KERNEL!="sr[0-9]*", GOTO="END"
   TAG-="uaccess"
   RUN+="/usr/bin/logger 'Astra UDEV: set access for device %E{DEVNAME}'"
   LABEL="END"

3. Для того, чтобы правило удаляло ранее назначенные устройству ACL привести правило к следующему виду:
   

   Удаление ACL, назначенных systemd, командой setfacl из сессии администратора не работает. ACL должны быть удалены с помощью правила udev.

    

   SUBSYSTEM!="block", GOTO="END"
   KERNEL!="sr[0-9]*", GOTO="END"
   TAG-="uaccess"
   RUN+="/usr/bin/setfacl -b %E{DEVNAME}"
   RUN+="/usr/bin/logger 'Astra UDEV: set access for device %E{DEVNAME}'"
   LABEL="END"

   В правило добавлена команда RUN+="/usr/bin/setfacl -b %E{DEVNAME}" удаляющая все ранее назначенные ACL. Для применения этого правила достаточно сменить носитель в приводе.

После выполнения указанных действий прямой доступ к оптическим дискам на чтение и запись будет разрешен только суперпользователю (sudo) и пользователям, входящим в группу cdrom.

Для более точного разделения прав дополнительно можно определить права только на прямое чтение без права прямой записи. Для этого:

1. Создать группу пользователей, которой будет разрешено чтение. При работе в домене это может быть доменная группа (см. документацию на используемый домен), или это может быть локальная группа, например, локальная группа cdrom_ro. Создать локальную группу:

   sudo groupadd --system cdrom_ro

2. В правиле 74-uaccess-astra.rules назначить устройству (устройствам) ACL, разрешающий чтение участникам группы cdrom_ro, для чего привести правило к виду:

   SUBSYSTEM!="block", GOTO="END"
   KERNEL!="sr[0-9]*", GOTO="END"
   TAG-="uaccess"
   RUN+="/usr/bin/setfacl -b %E{DEVNAME}"
   RUN+="/usr/bin/setfacl -m g:cdrom_ro@ipadomain0.ru:r %E{DEVNAME}"
   RUN+="/usr/bin/logger 'Astra UDEV: set access for device %E{DEVNAME}'"
   LABEL="END"

   В правило добавлена команда  /usr/bin/setfacl -m g:cdrom_ro:r %E{DEVNAME предоставляющая права на чтение участникам группы cdrom_ro;
   
   

3. Для применения правила сменить носитель в приводе.

После выполнения указанных действий прямой доступ к оптическим дискам на чтение и запись будет разрешен суперпользователю (sudo) и пользователям, входящим в группу cdrom, а также разрешен доступ на чтение пользователям, входящим в группу cdrom_ro.

Разграничение прав доступа при работе в доменах

При работе в доменах (FreeIPA, Samba, ALD, Windows AD) для разграничения доступа рекомендуется использовать доменные группы.  Принципы их применения аналогичны изложенным выше принципам применения локальных групп. При этом для разрешения записи можно использовать несколько модифицированное правило для разрешения чтения:

SUBSYSTEM!="block", GOTO="END"
KERNEL!="sr[0-9]*", GOTO="END"
TAG-="uaccess"
RUN+="/usr/bin/setfacl -b %E{DEVNAME}"
RUN+="/usr/bin/setfacl -m g:cdrom_rw@ipadomain0.ru:rw %E{DEVNAME}"
RUN+="/usr/bin/logger 'Astra UDEV: set access for device %E{DEVNAME}'"
LABEL="END"

Отличие от ранее приведенного правила, разрешающего чтение:

• использовано имя группы domain_cdrom_rw;
• устройству присваивается ACL разрешающий и чтение и запись: g:domain_cdrom_rw:rw.

Проверка корректности работы

При правильно настроенных правах доступа:

1. Команда прямого чтения носителя должна успешно выполняться из сессий суперпользователя (sudo) и пользователей, входящих в группы cdrom или cdrom_ro и не должна выполняться из пользовательских сессий остальных пользователей. Пример команды прямого чтения:

   dd if=/dev/sr0 of=`mktemp` count=100

2. Запись образов на носитель должна успешно выполняться из сессий суперпользователя (sudo) и пользователей, входящих в группу cdrom не должна выполняться из сессий остальных пользователей. Примеры команд записи образов см. в статье Запись оптических дисков в Astra Linux.