Stím sticky bitem se mi to nějak nedaří. Když mají adresáře práva drwxr-s--- nebo drwxr-x--T a nejsu vlastník nebo ve skupině tak z nich stejně nejde číst. Původní plán byl ten, že vytvořím skupinu log, šoupnu do ní uživatele, změním skupinu na log pro všecko ve /var/log nějak takto:
dir=/var/log; chgrp -cR log $dir; chmod g+r -cR $dir; find $dir -type d -exec chmod g+x -c '{}' \;ale přišlo mi to jako prasečina, možná by se tím i něco rozbilo ...
S ACL už to dopadlo o poznání líp. Doteď jsem ani netušil že něco takovýho existuje.
Po krátkém zagůglení jsem vypotil toto:
find /var/log -type d -exec setfacl -m g:log:rx '{}' \;
find /var/log -type f -exec setfacl -m g:log:r '{}' \;a všeci co jsou ve skupině log můžou číst všecko a nesmí zapisovat do souboru který není jejich. Tak nějak jsem si to představoval
Teď ještě nějak vyřešit to rotování. Ani nemám spuštěný logrotate, momentálně si to dělají ti daemoni sami. Někteří si to rotujou denně (apache), někteří podle velikosti logu, někteří vůbec. Docela anarchie. Když ten logrotate zapnu bude potřeba ručně pro každou službu zvlášť nastavit kdy má zarotovat nebo to celé proběhne nějak automaticky, jako že si to všeci přestanou rotovat sami a spolehnou se na logrotate, kde bude natvrdo nastaveno třeba 1x za týden? Spouštět ty dva findy cronem preventivně co pět minut mi přijde takový nesystémový řešení, ale když by to jinak nešlo ...
6 Odpovědí
2197 Zhlédnutí