Homeverzeichnisse der Lehrer gehören Gruppe "www-data" / doppeltes Verzeichnis

[Rüdiger Kupper]

Ähm, die Homeverzeichnisse auf dem paedml gehören zwar jeweils ihren Nutzern, aber der Gruppe "www-data". Hat das irgend einen Sinn oder ist das falsch?
Die Schülerhomes gehören weiterhin der Gruppe "teachers", wie gehabt.

Außerdem ist dort etwas ganz faul: Das Verzeichnis /home/teachers/kup gibt es zweimal! Wie das gehen kann, ist mir schleierhaft:

# ls -l /home/teachers/
[...]
drwxr-xr-x  24 koc             www-data  4096 Okt  8 06:42 koc
drwxr-xr-x  43 krauss          www-data  4096 Okt  8 06:42 krauss
drwxr-xr-x  38 kroe            www-data  4096 Okt  8 06:42 kroe
drwxr-xr-x 125 kup             www-data 12288 Okt  8 11:40 kup
drwx--x--x   2 kup             teachers  4096 Sep 17 22:44 kup 
drwxr-xr-x  54 lac             www-data  4096 Okt  8 06:42 lac
drwxr-xr-x  66 lat             www-data 12288 Okt  8 06:42 lat
drwxr-xr-x  52 leh             www-data 12288 Okt  8 06:42 leh
[...]

[bau]

Die HomeVZ waren auch auf dem alten paedml mit Gruppe www-data versehen - ich glaube, da war irgendein Grund verantwortlich dafür -> wegen was aber nur? Warum sollte der apache da reinechseln können dürfen?

Das doppelte Verzeichnis kup war auf dem alten Server noch nicht da - komisch, wo das herkommt???

[Rüdiger Kupper]

Hm, ich hatte natürlich mit meinem letzten rsync die Besitzrechte auf dem neuen paedml exakt so übernommen, wie sie auf dem alten waren.

Ich sehe erst einmal keinen Grund, dass die Verzeichnisse zur Gruppe www-data gehören. Der Webserver sollte ja nur auf die ~/public_html-Verzeichnisse zugreifen können. Und das ja auch nur lesend.

Vorschlag: Wir übereignen die Homeverzeichnisse bei Gelegenheit mal der Gruppe teachers, wie es sein sollte, und warten ab, ob dann irgend etwas nicht funktioniert...

[Rüdiger Kupper]

Replying to kup:

Der Webserver sollte ja nur auf die ~/public_html-Verzeichnisse zugreifen können. Und das ja auch nur lesend.

Genau das ist aber wohl der Grund: Der Webserver braucht Listrechte im gesamten Dateibaum bis zum public_html-Verzeichnis. Gehört das Verzeichnis der Gruppe "teachers", dann ist der Webserver "others". Und es gibt gute Gründe, die Lehrerverzeichnisse für das Listen durch "others" (z.B. Schüler) zu sperren. Gehört das Verzeichnis "www-data", so kann man dieser Gruppe die Listrechte geben, ohne dass "others" es können.

[Rüdiger Kupper]

Anbei: Bei den Schülerverzeichnissen wird der Zugriff auf die public_html offenbar anders geregelt, die müssen sich ja auch authentifizieren. Es scheint also auch ohne die Gruppenrechte für "www-data" zu gehen. (Näheres hierzu unter AdminApache.)

[Rüdiger Kupper]

Das doppelte Verzeichnis war übrigens doch keins: Es hieß "kup ", mit angehängtem Leerzeichen. Das muss beim experimentieren mit pam_mount passiert sein. Habe es entfernt.

[Rüdiger Kupper]

Autsch, nein, so geht's nicht. Das analoge Problem tritt nämlich beim ssh-Zugriff auf:
ssh muss das Verzeichnis ~/.ssh/ listen und lesen können, denn sonst kann es die authorized_keys des Nutzers nicht checken. Der ssh-daemon läuft aber mit den Rechten des Nutzers (also etwa kup:teachers). Da das Verzeichnis /home/teachers nun aber die Besitzrechte administrator:www-data hat, ist der Nutzer selbst "others" und darf seine eigenen Verzeichnisse nicht listen!

So kann's also nicht gehen. Das einzig Vernünftige scheint, wenn /home/teachers administrator:teachers gehört und die Verzeichnisse selbst <uid>:teachers.

So funktioniert allerdings momentan der Zugriff auf die public_html-Verzeichnisse der Lehrer nicht. Doch bei den Schülern klappt das ja auch --> unter AdminApache nachsehen!