Как изменить разрешения Unix, если я не владею файлом, но имею разрешение на запись в каталог?

Существует по крайней мере один Unix, в котором я видел способ предоставить кому-либо разрешения chmod и chown на все файлы, принадлежащие определенной группе. Иногда это называется «групповой суперпользователь» или что-то подобное.

Единственная версия Unix, в которой я был уверен, это та версия Unix, в которой Encore Multimax побежал.

Я немного поискал, и хотя я помню несколько расплывчатых упоминаний о возможности такого рода в Linux, я не смог их найти. Так что это может быть не вариант. К счастью, это можно смоделировать, хотя симуляция немного опасна.

Чтобы имитировать это, нужно создать очень специфическую программу suid, которая будет выполнять chmod от имени root после проверки того, что вы являетесь членом той же группы, что и владелец файла, и что ваше имя пользователя указано как имеющее это разрешение в специальном файле /etc/chmod_group, который должен принадлежать root и доступен для чтения и записи только root.

Самый простой способ сделать это — сделать вас и вашего партнера членами новой группы (скажем, «devel») и использовать ее в качестве группы файла. Таким образом, он может принадлежать любому из вас, и пока группа права, вы оба можете работать с ним.

Если это не работает с вами, «sudo» можно настроить таким образом, чтобы только эти два пользователя могли запускать команду chmod для файлов в этом конкретном каталоге от имени пользователя root без пароля.

Если вы правильно установите umask, файлы могут быть созданы с правильными разрешениями:

$ umask 0022
$ touch foo
$ ls -l foo
-rw-r--r-- 1 sarnold sarnold 0 2011-02-20 21:17 foo
$ rm foo
$ umask 0002
$ touch foo
$ ls -l foo
-rw-rw-r-- 1 sarnold sarnold 0 2011-02-20 21:17 foo

Я делаю шаг назад. Дайте мне знать, если я нарушу какое-то ограничение в вашей системе, о котором я не читал.

Исходя из вашего вопроса, я предполагаю, что вы пытаетесь поделиться репозиторием git, используя URL-адреса file:// и полагаясь на разрешения файловой системы UNIX, чтобы позаботиться об авторизации и т. д. Почему бы вам не рассмотреть другой способ поделиться своими репозиториями, который не включает это хлопот?

Я могу думать о двух способах.

• Вы можете создать пустой репозиторий на любом из ваших компьютеров, добавить его в качестве удаленного в свои рабочие репозитории и использовать для совместной работы. Подавать его можно с помощью встроенной команды git daemon. Подробности находятся здесь. Однако это не даст вам никакого контроля доступа.
• Вы можете установить gitosis локально и использовать его для обслуживания вашего репозитория. Это позволяет использовать простую систему контроля доступа, чтобы вы могли ограничивать/разрешать доступ определенным пользователям.

Некоторое время назад возник связанный с этим вопрос, который может быть актуальным. git daemon работал на него - Администрирование репозитория git без прав root

Я также нашел кое-что об ошибке сервера, которая может иметь отношение к вашей проблеме - https://serverfault.com/questions/21126/git-daemon-and-access-control-for-multiple-repos

Вероятно, не самый элегантный способ, но похоже, он работает

$ umask 0002
$ mv value.c value.c.tmp
$ cat value.c.tmp > value.c
$ rm value.c.tmp

можно было бы возразить, что его можно было бы сделать пуленепробиваемым, но тут кто-то приносит с собой РПГ...

Если вам обоим нужно выполнить chmod, я не могу придумать другого способа - если это нормально, что ВЫ можете chmod, а другой парень нет, вы можете chmod 6770 . или chmod g+s,u+s . в каталог (например, установите биты SUID и GUID), чтобы тот, кто владеет каталогом, всегда был владельцем файлов. К сожалению, некоторые (если не большинство), а именно EXT2/3/4, игнорируют бит SUID.

Конечно, установка umask на 0002 решит проблему, не делая его обязательным.

Предполагая, что ваш крюк публикации фактически развертывает файлы, а не просто устанавливает разрешения в рабочей копии, вы можете выполнить развертывание во временном расположении, а затем использовать rsync, чтобы убедиться, что содержимое файла и разрешения верны.

Немного лучше, но требующая некоторой инфраструктуры, которой, как я предполагаю, нет, было бы гарантировать, что сценарий развертывания работает только под одним пользователем. Вы можете сделать это, используя sudo, если ваши системные администраторы позволяют, или настроив службу сервера git, например gerrit, или даже запустив задание cron каждые пять минут, которое проверяет наличие обновлений и при необходимости развертывает.

Это может сработать:

touch $name.tmp
chmod 660 $name.tmp
cp $name $name.tmp
if cmp $name $name.tmp 2>/dev/null; then
    rm $name && \
        cp $name.tmp $name && \
        rm $name.tmp
fi

Это просто вариант вашей первоначальной идеи

Хорошо, смесь вещей, основанных на предыдущих ответах:

• вы можете установить umask папки, если вы смонтируете ее в fstab. Если бы вы могли договориться с людьми, чтобы они работали над этим ездовым животным, вы могли бы применить g+w

• Если вы установите бит идентификатора группы этой папки (g+s), все файлы будут принадлежать группе, к которой принадлежит папка, поэтому групповое владение файлом распространяется

Это выполнимо? Конечно, обеспечение соблюдения этой точки монтирования — непростая задача. Любые лучшие идеи вокруг этого кого-нибудь?