Neues User-Konzept für ePages 6 unter Unix | → 6.14.0 | Created: 6.0.7; Updated: 6.0.7 |
Um die Sicherheit von ePages weiter zu erhöhen, werden zwei neuen User eingeführt.Deren Rechte sind maximal eingeschränkt. Unter ihnen werden die Applikationserver- und Webserverprozesse ausgeführt. Durch die Einschränkung der Rechte können über die Prozesse keine Zugriffe auf das System ausgeführt werden.
Inhaltsverzeichnis |
Grundsätzlich bleiben alle User- und Filerechte so erhalten, wie sie sind. ep_appl behält die Vorzugs-Rechte wie ein Patch zu installieren oder die Services zu starten. ep_db und das Sybase-Verzeichnis werden nicht geändert.
Die Umgebungsvariablen EPAGES_APPUSER und EPAGES_WEBUSER enthalten die Namen für die user und werden durch Patch/Vollinstalltion in /etc/default/epages6 gesetzt:
EPAGES_APPUSER=eprunapp EPAGES_WEBUSER=eprunweb
Das bisherige Verhalten kann man erzwingen, wenn man setzt:
EPAGES_APPUSER=ep_appl EPAGES_WEBUSER=ep_web
Schreibrechte für eprunweb sind auch in Apache/logs nicht nötig, da der Prozess von root bestartet wird.
Weil die Gruppe ep_web in $EPAGES_LOG und $EPAGES_SHARED/Monitor schreiben kann, kann auch eprunweb dort schreiben.
Nötige Änderungen:
Neben ep_appl gibt es nun eprunapp. ep_appl wird weiterhin für Kommandozeilenaufrufe verwendet, wie:
cd $EPAGES_CARTRIDGES/DE_EPAGES perl Makefile.PL make reinstall
eprunapp soll das nicht.
Alle Rechte außer in $EPAGES_SHARED bleiben wie bisher.
Wenn die Rechte in den Verzeichnissen nicht geändert werden, hat eprunapp nur Leserecht.
chown -R eprunapp ASPool.db DataCache.conf EbayCategories.db chmod -R 775 ASPool.db DataCache.conf EbayCategories.db setfacl -L -m u:ep_appl:rwx ASPool.db DataCache.conf EbayCategories.db
chown -R eprunapp Log setfacl -RdL -m u:ep_appl:rwx Log setfacl -RL -m u:ep_appl:rwx Log
Rechte bleiben.
chown -R eprunapp Static Stores WebRoot setfacl -RdL -m u:ep_appl:rwx Log setfacl -RL -m u:ep_appl:rwx Log
Die Befehle können bei großen Installationen lange dauern (und möglicherweise wegen inode-caching abstürzen). Das kann man wie folgt umgehen:
Nötige Änderungen:
Patchen ist wie bisher möglich: entweder als 'root' oder als 'ep_appl' (wenn ACLs benutzt werden). Die Filerechte werden beim Patchen geändert. Ein Patch von 6.0.6 oder niedriger auf 6.0.7 oder höher kann nur root ausführen, da neue Nutzer angelegt werden.
Die Rechte-Änderungen haben keine Auswirkungen auf Partner-Cartridges.