Linux:如何在多用户系统(包括LDAP用户)上优化配置数据分区？

Question

如何设置linux计算机，以便每个拥有本地或LDAP帐户的用户都可以使用相同的数据分区。

我需要以下行为：

每个用户都可以

1. 创建文件夹/文件

1. 只删除自己创建的文件/文件夹

1. 从所有用户读取/执行所有文件

对于具有本地帐户的用户，我这样做了：

sudo mkdir /media/data 
sudo bash -c 'echo /dev/sdb1 /media/data ext4 defaults 0 0 >> /etc/fstab' 
sudo mount -a 
sudo chown :users /media/data
sudo chmod g+rw /media/data

对应于

# create a folder to mount data partition
# create fstab entry to mount data partition (/dev/sdb1) into that folder
# mount folder
# assign group 'users' to parent folder
# give group read write permissions

剩下的唯一方法是手动将每个本地用户添加到组用户中：

sudo adduser myUser users

现在，我们将LDAP添加到机器中。有人知道如何保持所需的行为，但不需要手动将每个LDAP用户(太多)分配给组用户吗？

Answer 1

您可以使用pam_group按需(动态)将用户添加到users组。(虽然这不在您的问题范围之内，但如果您将其与pam_mkhome结合以创建新用户的主目录，则系统几乎可以自我管理。)

PAM子系统 (可插拔认证模块)负责认证和授权。它非常可扩展(因此也比较复杂)，甚至能够运行一个shell脚本来验证某人的登录。在这种情况下，我们只需将用户组users添加到每个登录会话。

您还没有指定所使用的Linux发行版，因此我将给出一个Debian的工作示例。我想您将能够将此映射到您的场景中。

1. 打开根外壳，让它打开，直到您知道这是可行的。破坏PAM可以防止任何人或任何东西登录，甚至运行su/sudo。您可能需要这个根外壳来退出一个损坏的更改。
2. 配置pam_group，方法是将此规则添加到/etc/security/group.conf # All服务、所有ttys、所有用户、任何时间*、Al、用户
3. 配置PAM "auth“堆栈以使用pam_group。编辑文件/etc/pam.d/common-auth并在文件末尾添加这一行。在Debian上，我在pam-auth-update / auth可选pam_group.so块之后添加了它。
4. 测试一个登录名(本地或LDAP)，并检查id是否显示您的组列表中有users。如果没有，那么查看/var/log/auth.log的末尾，查看来自PAM的错误消息。

Answer 2

由于您不想使用组，具有常规Linux文件权限的唯一选项是使others (所有用户)都可以写它：

chown root:root /media/data
chmod u=rwx,g=rwx,o=rwxt /media/data

这将应用与/tmp目录相同的权限，并满足1)和2)。

3)取决于用户，但对于将umask设置为022感到满意，这是大多数Linux发行版的默认设置。

Answer 3

您正在描述/var/tmp的默认行为。