Como posso criar um subdiretório no qual o meu grupo não tenha permissões de gravação?

Question

Estou trabalhando no meu diretório de implantação Tomcat . Os arquivos no diretório possuem a permissão:

drwxrwsr-x. 10 tomcat www  4.0K Mar 15 15:14 webapps  

Um subdiretório de amostra em webapps se parece com isto:

drwxr-sr-x.  6 tomcat www 4.0K Mar 15 15:19 oldApps

Embora eu seja membro do grupo www , posso criar diretórios em oldApps . Isso ocorre apesar do grupo www não ter permissões de gravação em oldApps .

Eu tenho uma linha no meu arquivo sudoers que permite mkdir para membros de www group. Não consigo entender como posso escrever na pasta oldApps sem nenhuma permissão de gravação na pasta.

Atualizar :
Ok, eu entendo que eu poderia estar executando o comando mkdir como root, permitindo-me criar pastas. Como eu removo a linha de sudoers e ainda consigo criar diretórios?

    

Answer 1

Você realmente respondeu à sua própria pergunta: o motivo pelo qual você pode criar um subdiretório no qual seu grupo não tem permissão de gravação é porque você tem uma linha no arquivo sudoers que permite mkdir aos membros do seu grupo.

Talvez você esteja confuso sobre a finalidade do arquivo sudoers e do comando sudo : você não precisa permitir explicitamente todos os comandos que pretende executar; na verdade você não deveria fazer isso.

sudo é para executar comandos privilegiados . Você deve somente dar a alguém sudo access por comandos que você deseja que eles possam rodar como root . Com total sudo de acesso para qualquer comando, o usuário pode fazer qualquer coisa , independentemente das configurações de permissões de arquivos e diretórios individuais.

    

Answer 2

O motivo pelo qual você pode criar o diretório é devido ao fato de estar usando sudo . O comando mkdir real é executado (provavelmente) como tomcat . Como o atributo set-gid está configurado, o grupo no novo diretório ainda é www

Atualização:

Para adicionar permissões a outro usuário e / ou grupo, você pode usar as ACLs estendidas:

setfacl -d -m g:www:rwx oldApps
setfacl -m g:www:rwx oldApps