Permitindo o acesso do apache a um subdiretório em um diretório inicial sem acesso ao diretório inicial

Question

Estou executando o desktop do Ubuntu 11.04 com diretórios pessoais criptografados. Eu faço o trabalho de desenvolvimento no meu computador e quero que meu diretório webroot esteja dentro do meu diretório pessoal, para que ele seja criptografado com o resto do meu diretório pessoal. Como eu sou o único uso da máquina, eu quero configurar o Apache para apontar isso diretamente.

Atual Alterei a pasta /var/www para um link simbólico para o espaço de trabalho no meu diretório principal: /home/valorin/workspace

No entanto, isso gera 403 Proibido erros no apache.

Eu adicionei meu usuário ao grupo www-data e defino a propriedade & amp; permissões na pasta da área de trabalho:

drwxrwxr-x  2 valorin www-data  4096 2011-04-23 10:02 workspace

Mas a única maneira de fazer isso funcionar é alterar o grupo de diretórios pessoais para www-data e definir permissões também. Eu realmente não quero fazer isso, pois significa que o Apache tem acesso ao meu diretório pessoal e possivelmente pode ser usado por alguém na minha rede para acessar meus dados pessoais.

Alguém sabe como posso resolver este problema?

    

Answer 1

Você pode deixar sua propriedade do diretório $ HOME sozinha. Você não precisa configurá-lo para www-data. O que você faz tem que fazer é garantir que o Apache tenha permissões de execução em $ HOME e tudo acima dele. Então, você poderia fazer algo assim:

chmod 751 "$HOME"
sudo chmod 751 /home

No entanto, o fato de o $ HOME ser criptografado pode representar grandes problemas para o Apache, a menos que você possa de alguma forma configurar o Apache para usar a chave de decodificação adequada.

EDITAR:

Configurar permissões de execução em um diretório significa apenas que você pode acessar algo dentro do diretório se já souber o nome dele e se o que você está tentando acessar também tiver permissões corretas. Portanto, definir um x-bit global no $ HOME não é um risco de segurança muito grande, contanto que todos os outros arquivos tenham permissões razoáveis. Você pode querer olhar para o seu umask para ter certeza.