Re: questions de policy
Le Wed, Sep 25, 2002 at 11:43:18AM +0200, Georges Mariano écrivait:
> Je me rallong ma propre sauce ... ce n'est plus le sujet précis
> initial mais l'intitulé est le même : question de policy...
Bon, d'abord laisse moi te dire que les utilisateur et groupe système
créés par les paquets ne représentent pas de trou de sécurité puisque ce
sont des comptes qui ne permettent de se loguer dedans (pas de mot de
passe et shell de type /bin/false). Par ailleurs, ces comptes sont au
contraire souvent créé par mesure de sécurité afin d'éviter aux
applications de tourner dans un utilisateur ayant trop de droit. Par
définition, ces utilisateurs ont des droits limités !
> <<Because some packages need to include files which are owned by these
> users or groups, or need the ids compiled into binaries, these ids
> must be used on any Debian system only for the purpose for which they
> are allocated. >>
>
> Il me semble que je peux en déduire que :
> Si le "purpose" n'est plus/pas là, je peux les virer " ??
Tu déduis mal, le sens de cette phrase c'est : certaines applications
codent en dur les UID, alors il est nécessaire de pré-allouer ces UIDs
mais c'est une pas une bonne pratique. La policy incite au contraire à
créer les utilisateurs à la volée et à configurer l'application en
conséquence.
> <<This is a serious restriction, and we should avoid getting in the
> way of local administration policies.>>
>
> Si la "local administration policy" est de "virer ce qui sert à rien"
Non, la "local administration policy" c'est le droit d'avoir des
utilisateurs/groupes avec des UIDs fixes dû à des comptabilités avec
d'autres UNIX par exemple (notamment nfs). Ce travail de compatibilité
n'est possible que si on affecte en dur que le strict minimum ... d'où
la nécessité de déconseiller les UID codés en dur.
> Donc, en toute généralité, les paquets doivent systématiquement
> s'assurer que les uids dont ils ont besoins sont bien présents ? (si
Oui c'est la logique même. Ceci est fait soit en créant soi même les
uids, soit en dépendant d'une bonne version de base-passwd (qui contien
l'UID codé en dur qui est nécessaire).
> La policy Debian ne peut pas "interdire" à l'admin local de virer un
> uid inutile, exact ?
La policy debian gouverne les paquets, elle n'interdit rien à
l'administrateur d'une machine. Et en général, elle est écrite sur la
base de raisonnement qui cherche à faciliter son travail.
A+
--
Raphaël Hertzog -+- http://www.ouaza.com
Formation Linux et logiciel libre : http://www.logidee.com
Reply to: