Безопасность — одна из первостепенных задач владельца (и/или админа) сервера. Поэтому нужно правильно назначать права пользователям, правильно создавать группы пользователей и, конечно, создать правильное расположение папок для хранения данных пользователей на сервере так, чтобы пользователь мог успешно выполнять свои задачи, но при этом не мог вмешиваться в работу сервера. Иначе на сервер с бестолковой системой безопасности могут попасть злоумышленники и перенаправить работу сервера в нужное им русло (высчитывать биткоинты, рассылать спам, пытаться взломать сервер NASA и угнать ракету на Марс или перехватить управление беспилотником Пентагона и начать глушить рыбу в озере Байкал). В общем, ничем хорошим безолаберность может не кончиться, и хорошо, если просто кто-то захочет (и придёт к вам) наделать гематом на фронтальной поверхности черепа.
Структура папок пользователей на сервере в ISP-manager
Для того, чтобы не изобретать велосипед, я решил воспользоваться архитектурой расположения папок пользователей на сервере, которую создаёт ISP-manager. Не сказать, чтобы она была простой, но зато она понятна и достаточно управляема в плане раздачи (и ограничения) прав доступа к файлам и папкам. К тому же она точно позволяет надёжно изолировать один проект от другого. Смущает конечно излишняя на первый взгляд вложенность папок, но правильно выставив права на эти папки можно достаточно просто урезать права пользователя до минимально необходимого. Так, чтобы всё работало, а если что-то понадобиться для расширения функционала, можно достаточно быстро нарастить.
Итак. Все пользовательские папки и файлы будут находиться в директории /var/www, а дальше — папки с именами пользователей (user).
То есть так: /var/www/user.
В папке группы следующая структура: ../data/www/project.
Итого имеем такую архитектуру хранения данных для разных пользователей и их проектов:
└── var
└── www
├── user1 [папка пользователя 1]
│ └── data
│ └── www
│ ├── project1 [папка проекта 1]
│ ├── project2 [папка проекта 2]
│ └── project3 [папка проекта 3]
└── user2 [папка пользователя 2]
└── data
└── www
├── project4 [папка проекта 4]
├── project5 [папка проекта 5]
├── project6 [папка проекта 6]
└── project7 [папка проекта 7]Если коротко, то в общем случае для userN с проектом projectN:
/var/www/userN/data/www/projectNПапка каждого проекта служит корневой папкой для отдельного сайта и прикреплена к доменному имени в настройках WEB-серверов. Права на эти папки принадлежат группе и пользователю, за которым закреплён этот проект. Также эти папки могут служить корневыми директориями для FTP-сервера.
Если по какой-то причине пользователю требуется уровень папки выше, то ему легко будет дать эти права. Все дополнительные файлы с конфигами и настройками также могут легко размещаться в этой структуре хранения данных.
Естественно, все права доступы в папки /var и /var/www доступны только из-под root, а всё что глубже (там, где начинаются папки пользователей), уже на усмотрение администратора сервера.
В папку data можно положить не только папку www, но и, например, папку files, в которую пользователь может складывать свои документы, папку script — для программ... и т.д.. Но, так как мой сервер пока предназначен только для хостинга сайтов, то папки www достаточно. Каждый пользователь будет иметь доступ к файлам своих сайтов. Разные пользователи с разными проектами не пересекаются и не могут попасть в папки друг к другу (так как не имеют прав доступа к чужим папкам других пользователей).
В общем, такая архитектура выглядит достаточно безопасной, логичной и её создание можно автоматизировать с помощью Bash-скриптов... Но об этом немного позже. ;)
