Quem pode alterar as permissões da ACL?

Question

Estou usando a ACL para controlar o acesso a raízes individuais de Webs para diferentes instâncias do Apache e diferentes grupos de administradores. Eu tenho um grupo Unix admins-web22 para administradores de um site específico e usuário apache-web22 para uma instância específica do apache. Estas são as permissões definidas no diretório raiz da web:

# file: web22
# owner: root
# group: root
user::rwx
user:apache-web22:r-x
group::rwx
group:webmaster:rwx
group:admins-web22:rwx
mask::rwx
other::---
default:user::rwx
default:user:apache-web22:r-x
default:group::rwx
default:group:admins-web22:rwx
default:mask::rwx
default:other::r-x

Existe um usuário fred que é membro de admins-web22 . Este usuário tem acesso total de leitura / gravação ao diretório (conforme indicado acima). Isso funciona corretamente. No entanto, esse usuário não pode conceder permissões de gravação ao usuário apache-web22 para alguns arquivos e diretórios, o que é importante (por exemplo, o administrador da Web deseja definir um diretório de upload para o Drupal). O comando setfacl fornece "Operação não permitida".

Minha pergunta é: quem pode conceder privilégios usando setfacl e como posso permitir que usuários do grupo admins-web22 alterem permissões (por apache-web22 )?

Estou usando o Debian Wheezy e é uma partição ext4, se for importante.

    

Answer 1

A página de manual setfacl explica quem pode conceder privilégios:

The file owner and processes capable of CAP_FOWNER are granted the right to modify ACLs of a file. This is analogous to the permissions required for accessing the file mode. (On current Linux systems, root is the only user with the CAP_FOWNER capability.)

Portanto, fred só pode usar setfacl nos arquivos que possui. Dependendo de seus requisitos de segurança exatos, talvez seja possível permitir que os membros de admins-web22 executem setfacl como apache-web22 (usando sudo ), o que permitiria alterar as ACLs em arquivos de propriedade de apache-web22 . ...