पाइथन स्क्रिप्ट को रूट के रूप में निष्पादित करें (सेट्यूयूड बनाम सी-रैपर)

Question

मेरे पास एक पायथन स्क्रिप्ट में एक त्वरित कार्य है जिसे मैं Django (www उपयोगकर्ता) से कॉल करना चाहता हूं, जिसे विशेषाधिकारों को रूट करने की आवश्यकता होगी।

सबसे पहले मुझे लगता है मैं पायथन के os.seteuid() का उपयोग करें और स्क्रिप्ट पर setuid बिट सेट कर सकते हैं सोचा, लेकिन तब मुझे एहसास हुआ कि मैं स्थापित करने के लिए अजगर ही है, जो मुझे लगता है पर setuid बिट बड़ा नहीं है के लिए होता है कि नहीं। जो कुछ मैं बता सकता हूं, उससे भी अगर मुकदमा का उपयोग किया जाए तो यह भी मामला होगा, जिसे मैं वास्तव में टालना चाहता हूं।

इस बिंदु पर, मैं केवल एक सी रैपर लिखने पर विचार कर रहा हूं और सेट के लिए मेरी पाइथन लिपि को रूट के रूप में कॉल करता हूं, इसके लिए आवश्यक तर्क पारित करता हूं।

क्या यह सही काम है या मुझे कुछ और देखना चाहिए?

Answer 1

सूडो को पायथन पर सेट्यूड बिट की आवश्यकता नहीं है। आप एक आदेश केवल, कोई तर्क के लिए sudo सक्षम कर सकते हैं:

www   ALL=(ALL)  NOPASSWD: /root/bin/reload-stuff.py "" 

यह सुरक्षित हो सकता है अगर अपनी स्क्रिप्ट किसी भी तर्क नहीं ले करता है, उपयोगकर्ता www द्वारा ओवरराइड नहीं किया जा सकता है, और sudo सबसे में "env_reset" (डिफ़ॉल्ट करता है distros)।

आप तर्क स्वीकार कर सकते हैं, लेकिन उनके साथ बहुत सावधान रहें - आउटपुट फ़ाइल नाम न लें, सुनिश्चित करें कि आप सभी इनपुट सत्यापित करते हैं। इस मामले में, सुडो लाइन के अंत से "" हटा दें।

Answer 2

sudo आपको प्रोग्राम में दिए गए तर्कों को सीमित करने की अनुमति देता है। man sudoers से:

john   ALPHA = /usr/bin/su [!-]*, !/usr/bin/su *root* 

On the ALPHA machines, user john may su to anyone except root but 
he is not allowed to specify any options to the su(1) command. 

तो सुडो का उपयोग करें। निस्संदेह आपको रूट पहुंच के साथ अतिरिक्त सावधानी बरतनी चाहिए - सुनिश्चित करें कि केवल रूट ही स्क्रिप्ट स्वयं और किसी भी मूल निर्देशिका को संशोधित कर सकता है, और यह कि स्क्रिप्ट सुरक्षित है और केवल पूर्ण न्यूनतम है जिसे रूट के रूप में चलाने की आवश्यकता है।

Answer 3

सही चीज़ को विशेषाधिकार अलगाव कहा जाता है: स्पष्ट विशेषाधिकारों पर किए जाने वाले कार्यों के न्यूनतम सेट को स्पष्ट रूप से पहचानें। एक अलग डिमन लिखें और कार्य को संप्रेषित करने के संभावित तरीके के रूप में सीमित करें। इस विशेषाधिकार को उच्च विशेषाधिकार वाले दूसरे उपयोगकर्ता के रूप में चलाएं। थोड़ा और काम, लेकिन अधिक सुरक्षित।

संपादित करें: एक सेटयूड-सक्षम रैपर का उपयोग करने से विशेषाधिकार अलगाव की अवधारणा को भी पूरा किया जाएगा, हालांकि मैं अनुशंसा करता हूं कि वेब सर्वर को चिल्लाया जाए और chrooted फ़ाइल सिस्टम नोसुइड (जो इसे पराजित करेगा) को घुमाएगा।