Server - Executa um programa que permite escrever somente em um diretório específico

Question

Eu sou um desenvolvedor web e preciso executar alguns programas de terceiros no meu servidor. Uma vez que estes programas são de terceiros e nem sempre tenho 100% de certeza da sua fiabilidade, gostaria de executar estes programas com permissões específicas. Como esses programas precisarão gravar arquivos em disco, eu quero configurar permissões para negar acesso a todo o disco rígido (eu não quero nem somente leitura), exceto por um diretório onde esses programas irão gravar. Eu pensei que a maneira mais fácil de conseguir isso é:

• crie o grupo "terceiros"
• crie o usuário "usuário de terceiros"
• nega acesso a todo o disco rígido (mesmo que não seja somente leitura) para agrupar "terceiros"
• permite a leitura e gravação em /var/example/thirdparties
• defina "terceiros-usuário" como o proprietário dos programas que eu tenho que executar
• escreve um cronjob em "terceiros-usuário" para iniciar programas na inicialização (algo como @reboot sh /var/example/thirdparties/run-all-thirdparties-programs.sh )

Minha pergunta é. Tecnicamente falando, como posso criar essas permissões de grupo / usuário e configurar? se eu executar um programa pertencente a um usuário específico, esse programa herdará as permissões de seu grupo / usuário proprietário? Eu sou completamente novo no Ubuntu Server ..

Além disso ... se alguém tiver uma idéia melhor para alcançar meu objetivo, eu tenho orelhas grandes :) obrigado

    

Answer 1

O sistema de permissão padrão no Linux não suporta bem o caso de uso que você está descrevendo (por exemplo, "negar acesso a todo o disco rígido"). Uma abordagem melhor seria tentar usar chroot ou docker , para garantir que o programa seja executado em um ambiente isolado do sistema principal.