Bestimmten User bestimmte Rechte geben (Debian)?

Hallo liebe GF-Community, Ich habe ein Debian8 Server und habe mir mit adduser ein Nutzer erstellt, dieser hat nun auch ein eigenen Ordner im Home Verzeichnis. Ich möchte aber gerne das er andere Dateien (außerhalb) von seinem Ordner nicht verändern/starten/angucken darf. Zumbeispiel er hat ein Verzeichnis /home/TEST Ich möchte aber gerne das er zum beispiel auf /home/TEST2 nichts verändern/starten/angucken darf. Wie mach ich das?

Answer 1

[Takiry]

https://de.wikipedia.org/wiki/Chmod

schau dir mal die benutzerrechte an.

befehl chmod ABC

A ist der eigentümer der datei

B ist die Gruppe 

C ist JEDER

Damit kannst du jemanden wunderbar z.B. durch user oder gruppenrechte aus ordnern ein oder ausschließen. 

Comments

[alex4566001]

Danke, aber was ist mit den Ordnern dadrüber?(bin, amd64, etc, lib, ...)? Der User soll sie ja auch nicht verändern/sehen könn.

Ich hab aber gehört wenn man da die Rechte wegnimmt dann kann sich der User netmal einlogen o.O

[Takiry]

@alex4566001

Ja da hast du richtig gehört. Bitte nimms mir nicht übel aber es ist schon spät. google mal nach "chroot" bzw,"chroot Jail" das ist genau das was du willst. Ich bin mir sicher es gibt dazu eine anleitung. Ich bin nun müde und gehe mal pennen. gn8 

[tuxgamer]

@Takiry

chroot ist nach wie vor kein Sicherheitsfeature. Würde das nicht machen, da aufwendiger zu konfigurieren und man bekommt nichts, das man nicht auch über gute Rechteverwaltung bekommt.

chroot Jail gibt es auf Linux nicht - das ist BSD.

Ja, es gibt Debian GNU/kFreeBSD - halte es aber für unwahrscheinlich, dass der TO das nutzt ;).

Answer 2

[MarkusGenervt]

Bei jedem User den persönlichen Ordnerzugriff setzten mit:

chmod 700 "/home/username"

Ggf. auch den Eigentümer anpassen:

chown username "/home/username"

Dann kann man zwar noch den Ordner "/home/username" sehen, aber nicht mehr, was darunter liegt.

Comments

[alex4566001]

Danke, aber was ist mit den Ordnern dadrüber?(bin, amd64, etc, lib, ...)? Der User soll sie ja auch nicht verändern/sehen könn.

Ich hab aber gehört wenn man da die Rechte wegnimmt dann kann sich der User netmal einlogen o.O

[MarkusGenervt]

@alex4566001

Richtig.

In diesen Ordnern steht das eigentlich System und ohne diesen Zugang kann der User gar nichts machen.

Doch diese Ordner können nur eingesehen und nicht geändert werden. Somit besteht auch keine Gefahr.

Was Du aber ändern musst, ist der Zugang zu "sudo". Denn damit können System-Manipulationen begangen werden. Dazu musst Du "sudo" (u.ä.) in Deinen bin-Ordnern ebenfalls auf root-Rechte einschränken.

In dem Fall musst Du Dich dann als Admin selbst um die System-Wartung kümmern und User können ihre Programme nur noch im User-Pfad installieren.

Answer 3

[guenterhalt]

Rechte an Dateien und Verzeichnissen kann nur dessen Besitzer (root als Superuser hat da eine Sonderstellung) vergeben.

Wenn also User-X möchte, dass alle anderen User diese oder jene Datei sehen oder auch ändern dürfen, dann kann das nicht ein anderer verhindern (außer root natürlich).

Da auch nur root einen neuen User einrichten kann, kann er diesen einer Gruppe zuordnen, zu denen andere User nicht gehören.
Damit können andere User nicht über die "Gruppenrechte" seine Dateien lesen/schreiben/ausführen.
Sollte er aber über "Rest der Welt" (world) nicht verhindert haben, dass das auch world betrifft, dann geht es doch wieder.

Ich möchte aber gerne das er andere Dateien (außerhalb) von seinem Ordner nicht verändern/starten/angucken darf.

So eine Forderung ist durch den User, den das betreffen soll, nicht realisierbar.

Jeder User muss sich also selbst vor (aus seiner Sicht) unberechtigten Zugriffen schützen.
Root hat für Verzeichnisse wie /etc/ , /bin/ ... bereits Vorsorge getroffen und lässt dort keinerlei Manipulationen zu.
Nicht aus solche Verzeichnisse lesen oder Dateien ausführen zu dürfen würde bedeuten, dass nur root Programme ausführen darf. Will man das wirklich?
Wenn ja, dann braucht man auch keine User im System.

Woher ich das weiß: Berufserfahrung – openSuSE seit 1995

Answer 4

[Linuxhase]

Hallo

Ich habe ein Debian8 Server und habe mir mit adduser ein Nutzer
erstellt, dieser hat nun auch ein eigenen Ordner im Home Verzeichnis.

Das ist auch gut und richtig so, aber wer so eine Frage stellt:

Bestimmten User bestimmte Rechte geben (Debian)?

der sollte lieber keinen öffentlich erreichbaren Server betreiben.

• Das dient nicht nur dem eigenen Schutz sondern auch dem gegenüber allen anderen die durch einen kompromittierten Server beeinträchtigt oder gar geschädigt werden können.

Ich möchte aber gerne das er andere Dateien (außerhalb) von seinem Ordner nicht verändern/starten/angucken darf.

Ein User kann auch nichts außerhalb des eigenen /home/$USER Verzeichnisses nichts verändern und vom ansehen ist noch nichts zu schaden gekommen.

Solltest Du aber dennoch (bei Deiner Unwissenheit) sowas einrichten wollen, dann such mal nach ssh-Jail.

Zumbeispiel er hat ein Verzeichnis /home/TEST Ich möchte aber gerne das er zum beispiel auf /home/TEST2 nichts verändern/starten/angucken darf.

Das wäre allerdings ein andres Benutzerverzeichnis eines Benutzers mit dem Namen TEST und da kann sowieso niemand anderes als der User selber und root hineinsehen. Weil unterhalb von /home eben nur die Userverzeichnisse sein sollen (technisch aber möglich das anders zu handhaben, aber Quatsch.

Linuxhase

Woher ich das weiß: eigene Erfahrung – Ich benutze seit 2007 Linux und habe LPIC101 und LPIC102

Answer 5

[MrLongknife]

Moin,

ist zwar schon beantwortet, aber Jan hatte dazu mal einen guten Artikel veröffentlicht:

https://jankarres.de/2015/04/debian-linux-zugriffsrechte-system-erklaert/

Viel Spaß mit Debian

so long(knife)

Comments

[alex4566001]

Danke, aber was ist mit den Ordnern dadrüber?(bin, amd64, etc, lib, ...)? Der User soll sie ja auch nicht verändern/sehen könn.

Ich hab aber gehört wenn man da die Rechte wegnimmt dann kann sich der User netmal einlogen o.O