Permitindo o acesso do apache a um subdiretório em um diretório inicial sem acesso ao diretório inicial

Question

Estou executando o desktop do Ubuntu 11.04 com diretórios pessoais criptografados. Eu faço o trabalho de desenvolvimento no meu computador e quero que meu diretório webroot esteja dentro do meu diretório pessoal, para que ele seja criptografado com o resto do meu diretório pessoal. Como eu sou o único uso da máquina, eu quero configurar o Apache para apontar isso diretamente.

Atual Alterei a pasta /var/www para um link simbólico para o espaço de trabalho no meu diretório principal: /home/valorin/workspace

No entanto, isso gera 403 Proibido erros no apache.

Eu adicionei meu usuário ao grupo www-data e defino a propriedade & permissões na pasta da área de trabalho:

drwxrwxr-x  2 valorin www-data  4096 2011-04-23 10:02 workspace

Mas a única maneira de fazer isso funcionar é alterar o grupo de diretórios pessoais para www-data e definir permissões também. Eu realmente não quero fazer isso, pois significa que o Apache tem acesso ao meu diretório pessoal e possivelmente pode ser usado por alguém na minha rede para acessar meus dados pessoais.

Alguém sabe como posso resolver este problema?

    

Answer 1

Isso foi respondidas no AskUbuntu para mim, mas vou postar aqui para o benefício de pessoas que não são do Ubuntu:

You can leave your $HOME dir ownership alone. You don't need to set it to www-data. What you do have to do is ensure that Apache has execute permissions on $HOME and everything above it. So, you could do something like this:

chmod 751 "$HOME" sudo chmod 751 /home

However, the fact that $HOME is encrypted might pose major problems for Apache unless you can somehow configure Apache to use the proper decryption key.

EDIT:

Setting execute permissions on a directory means only that you can access something inside the directory if you already know its name and if what you're trying to access also has correct permissions. So setting a global x-bit on $HOME isn't too much of a security risk, as long as all your other files have reasonable permissions. You might want to look into your umask to be sure.