差異處

這裏顯示兩個版本的差異處。

--- linux:acl:run_service_with_new_user [2016/06/14 22:48]
tony [Reference]
+++ linux:acl:run_service_with_new_user [2023/06/25 09:48] (目前版本)
@@ 行 2: / 行 2: @@
 ====== 如何使用root以外的使用者去執行service? ======
 ===== Problem =====
+如果一個擁有root權限的App被攻破了，駭客就能為所欲為，對系統造成的危害肯定不小。所以怎麼樣的應用程式，就應該給予對應的存取權限，而不能因為方便直接給予最大權限。接下來就看看我Study結果吧!\\
+\\
 (本篇文章主要不是在教大家如何讓process變為service，而是著重於用怎樣的使用者去執行service的process)
-為什麼會開始將執行service的使用者從root改為自訂的呢? 主要原因肯定是security。一個擁有root權限的App如果被攻破了，對系統造成的危害肯定不小，因此我分享一些study成果。
 ===== How to? =====
 ==== 新增帳號與群組 | 修改目錄擁有者 | 移除帳號 ====
-如果沒有特殊需求，只需要透過以下指令就可以滿足需求:
+如果沒有特殊需求，只需要透過以下指令就可以完成:
 <code sh>
+# 新增群組
 groupadd -r TonyApp
+# 新增系統使用者
 useradd -r -d /opt/TonyApp -s /bin/bash -g TonyApp TonyApp
+# 將使用者設為daemon
 gpasswd -a TonyApp daemon
 </code>
-設定App目錄擁有者:
+設定App目錄擁有者，原本如果是root，App可能會完全無法動:
 <code sh>
 chown -R TonyApp:TonyApp /opt/TonyApp
@@ 行 23: / 行 27: @@
 由於我的App會存取到硬體相關指令或裝置，如fdisk、/dev/mem，因此我必須給與對應的權限。我可以直接透過以下指令確認是否能執行:
 <code sh>
+# 轉換使用者
 su TonyApp
+# 測試指令
 dmidecode
 fdisk /dev/sda
 </code>
-然而在賦與權限前，必然是不可行的。因此有以下幾個做法:
+在賦與權限前，必然是不可行的。因此有以下幾個做法:
 === 設定權限到system group ===
 可以從/etc/group中得知有哪些對應的群組，也可以看[[https://wiki.debian.org/SystemGroups|這篇文章]]。如果要給予存取disk權限可以使用:
@@ 行 60: / 行 66: @@
 </code>
 ===== Summary =====
-我個人是比較偏好**將帳號設定對應的System Group**，但這方法由於要存取mem的關係，無法滿足我需求。而**指定uid為0**與**setuid**的方式，其實都是以root去啟動process了，似乎也失去了初衷。因此，本次Study就純粹當學習。
+我個人是比較偏好**將帳號設定對應的System Group**，但由於我們軟體要存取mem的關係，這方法無法滿足我需求。**指定uid為0**與**setuid**的方式，其實都是以root去啟動process了，似乎也失去了初衷。因此，本次Study就純粹當學習，之後有時間再看看有沒有其它方法。
 ===== Reference =====
   * [[http://unix.stackexchange.com/questions/127117/why-service-accounts-in-linux-and-unix-systems|why-service-accounts-in-linux-and-unix-systems?]]