Làm cách nào để tạo người dùng và cấp quyền đọc cho tệp/etc/shadow?

Tôi muốn cấp cho người dùng máy chủ web của mình (nginx) quyền đọc vào tệp /etc/shadow và tôi muốn xác nhận các bước mà tôi đang thực hiện để thực hiện việc này. Hệ thống tôi đang sử dụng là CentOS 7.

1. Đầu tiên tôi tạo một nhóm gọi là bóng tối: nhóm thêm bóng
2. Sau đó, tôi đã thêm người dùng máy chủ web (nginx) vào bóng nhóm: usermod -aG bóng nginx
3. Sau đó, tôi đã thay đổi chủ sở hữu thành root và thay đổi chủ sở hữu nhóm tệp thành nhóm bóng: chown root:shadow /etc/shadow
4. Sau đó, tôi đã cấp quyền đọc cho tất cả người dùng trong nhóm bóng để đọc tệp /etc/shadow: chmod g+r /etc/shadow

Sau khi tiến hành các bước đó, tôi đã chạy ls -l /etc/shadow và tôi thấy đầu ra sau

-----r-----. 1 bóng gốc 1390 ngày 30 tháng 8 12:51 /etc/shadow

Các bước tôi đang làm có đúng không? Vui lòng cho tôi biết và tôi có thể cung cấp thêm thông tin nếu cần.

Việc thay đổi nhóm chủ sở hữu của tệp quan trọng như vậy thậm chí có thể làm hỏng một số thứ, đó là nguy hiểm.

Cách an toàn thích hợp để đạt được điều đó là sử dụng ACL POSIX:

setfacl -m u:special_user:r /etc/shadow

Một vấn đề khác ở đây là bạn đã trao quyền này cho Nginx, một máy chủ web. Mà, tôi cho rằng, chạy một số ứng dụng web. Và thật là một ý tưởng tồi nếu có quyền truy cập trực tiếp vào /etc/shadow từ ứng dụng web.

Điều này có vẻ phản tác dụng, nhưng đây là cách tất cả các hệ thống nghiêm túc làm những việc như vậy: chúng bao gồm dịch vụ proxy an toàn riêng tư tất cả các kiểm tra bảo mật và giao diện người dùng web chỉ có thể nói chuyện với dịch vụ proxy này để có một số quyền truy cập vào dữ liệu nhạy cảm hoặc làm những việc nhạy cảm khác. Ví dụ: đây là cách Proxmox VE được xây dựng: có pvedaemon thực hiện những việc nguy hiểm và pveproxy (máy chủ web) chỉ nói chuyện với pvedaemon khi nó cần làm những việc như vậy.

Vấn đề thứ ba là bạn hoàn toàn truy cập vào tệp này. Bạn định làm gì? Tệp này là một phần của bộ PAM.Điều gì sẽ xảy ra nếu một số xác thực hệ thống bị sửa đổi để nó không sử dụng tệp ẩn hoặc nó bị di chuyển? Bạn nên sử dụng các cuộc gọi thư viện PAM sẽ thực hiện tất cả những thứ đó cho bạn.

Trông giống như đầu ra của

chmod g=r /etc/shadow

và không

chmod g+r /etc/shadow

aka. bạn dường như đã vô tình sử dụng dấu bằng thay vì dấu cộng.

Chỉnh sửa: Tôi vừa kiểm tra lại hệ thống của mình và các quyền đối với /etc/shadow tập tin trông như thế này:

`----------. 1 gốc gốc 1183 20 tháng 8 11.53 /etc/shadow`

Vì vậy, có vẻ như quyền của bạn sẽ được mong đợi!