preocupação de segurança em torno da inclusão do usuário cron no grupo de aplicativos da web

Question

Eu tenho um problema de permissões na minha máquina do CentOS 5.6 em relação ao usuário do cron.

No meu ambiente de teste / preparação, o usuário do meu cron ( picco-cron ) é membro de um grupo - picco-cron , conforme abaixo:

[crmpicco@1872-stage1 downloads]$ id picco-cron
uid=601(picco-cron) gid=601(picco-cron) groups=601(picco-cron)

Considerando que, meu ambiente de desenvolvimento é o mesmo usuário, é um membro do grupo dev .

[root@dev53 dev_crmpicco]# id picco-cron
uid=503(picco-cron) gid=503(picco-cron) groups=503(picco-cron),555(dev)

O problema que tenho é que meus diretórios de aplicativos da Web PHP possuem um grupo de dev , que está correto, portanto, em meu ambiente de desenvolvimento, posso gravar / ler para e a partir desses diretórios conforme o esperado. No entanto, no ambiente de teste / preparação, não consigo, pois picco-cron não é membro do grupo dev .

Minha pergunta é - existe um problema de segurança em torno de permitir que o usuário "cron" tenha acesso a 90% dos diretórios do meu aplicativo? É tão simples quanto adicionar picco-cron ao grupo dev ou existe alguma preocupação de segurança aqui?

    

Answer 1

Você tem uma configuração muito especial lá.

IMHO um ambiente de preparação não deve dar aos desenvolvedores um acesso de gravação.

Portanto, há dois papéis envolvidos:

• Seu servidor web - permite chamar seu nome de usuário "apache"
• Um administrador técnico de php que mantém o phpam "atual" do aplicativo php web

Agora o phpadm deve ser capaz de gravar os arquivos que o servidor web fornece. Vamos construir um grupo comum "www" para esse fim.

Os arquivos PHP pertencem ao usuário phpadm, grupo www. Seu servidor é executado como usuário apache, grupo www. Arquivos estáticos são rw para phpadm e ro para www.

Nesse cenário, o seu picco-cron precisa obter o grupo www, se você quiser executar backups (ou seja, ler) com ele.