Как создать пользователя и дать ему право на чтение файла /etc/shadow?

Я хотел бы предоставить пользователю моего веб-сервера (nginx) доступ для чтения к файлу /etc/shadow, и я хотел бы подтвердить шаги, которые я предпринимаю для этого. Я использую систему CentOS 7.

1. Сначала я создал группу с названием shadow: группадобавить тень
2. Затем я добавил пользователя веб-сервера (nginx) в тень группы: usermod -aG тень nginx
3. Затем я изменил владельца на root и изменил владельца файловой группы на теневую группу: корень chown: тень /etc/shadow
4. Затем я разрешил всем пользователям в теневой группе права на чтение файла /etc/shadow: chmod g+r /etc/тень

После выполнения этих шагов я побежал ls -l /etc/тень и я вижу следующий вывод

----р-----. 1 корневая тень 1390, 30 августа, 12:51 /etc/shadow

Являются ли эти шаги правильными? Пожалуйста, дайте мне знать, и я могу предоставить дополнительную информацию, если это необходимо.

Изменение группы владельцев такого важного файла может даже сломать некоторые вещи, а именно опасный.

Надлежащий безопасный способ добиться этого — использовать ACL POSIX:

setfacl -m u:special_user:r /etc/shadow

Другая проблема заключается в том, что вы дали это право Nginx, веб-сервер. Который, я полагаю, запускает какое-то веб-приложение. И очень плохая идея иметь прямой доступ к /и т.д./тень из веб-приложения.

Это может показаться контрпродуктивным, но так поступают все серьезные системы: они включают частный безопасный прокси-сервис который выполняет все проверки безопасности, а веб-интерфейс может общаться только с этой прокси-службой, чтобы иметь некоторый доступ к конфиденциальным данным или выполнять другие конфиденциальные действия. Например, так построен Proxmox VE: есть pvedaemon, который делает опасные вещи, а pveproxy (веб-сервер) разговаривает с pvedaemon только тогда, когда ему нужно делать такие вещи.

Третья проблема заключается в том, что вы вообще получаете доступ к этому файлу. Что вы собираетесь делать? Этот файл является частью пакета PAM.Что если какая-то системная аутентификация будет изменена таким образом, что она не будет использовать теневой файл, или будет перемещена? Вы должны использовать вызовы библиотеки PAM, которые сделают все это за вас.

Это похоже на вывод

chmod g=r /etc/shadow

и нет

chmod g+r /etc/тень

он же вы, кажется, случайно использовали знак равенства вместо знака сложения.

Редактировать: Я только что дважды проверил свою систему и разрешения для моего /и т.д./тень файл выглядит так:

`----------. 1 корень root 1183 20 августа 11.53 /etc/shadow`

Так что, похоже, ваши разрешения ожидаются!