Назад | Перейти на главную страницу

Разрешения группы crontab

Я заметил на своей машине debian, что у пользователя crontab нет прав на чтение в каталоге / var / spool / cron / crontabs.

drwx-wx--T 2 root crontab 4096 Jun 20 21:34 crontabs

Более того, фактические файлы crontab имеют права на чтение и запись только от пользователя, которому они принадлежат.

У меня два вопроса.

  1. Есть ли причина, по которой пользователь crontab не имеет доступа для чтения к каталогу crontabs?
  2. Не стоит ли давать этому пользователю доступ для чтения к отдельным файлам crontab?

Причина моих вопросов в том, что у меня есть несколько разработчиков, которым нужен доступ для редактирования каждого crontab. В идеале я хотел бы, чтобы все они были в svn или подобном, чтобы мы могли просмотреть изменения, прежде чем вводить их в действие, а затем какую-либо форму сценария развертывания. Svn и deploy не проблема, но я искал обычного пользователя, который мог бы редактировать все crontab, не будучи root.

Единственная причина - безопасность. Это довольно популярный вариант использования бита SGID.

Там есть группа crontab. Эта группа пуста, поэтому в ней нет участников. Группа crontab имеет особую цель. Двоичный файл Crontab принадлежит группе crontab и имеет бит SGID (Set Group ID).

# ls -l /usr/bin/crontab
-rwxr-sr-x 1 root crontab 34784 Jun 14  2012 /usr/bin/crontab

Таким образом, файл, для которого установлен бит SGID (команда crontab), будет использоваться так, как если бы они принадлежали этой группе, а не только этому пользователю. Поскольку файл создается в каталоге с SGID (файл пользователя crontab), он также наследует его группу.

1) пользователь может редактировать или читать свой файл crontab только в команде crontab

2) у пользователя нет прав на чтение файлов списков в / var / spool / cron / crontabs