Daemon als anderen Benutzer starten

samsonus · Apprentice Joined: 18 Jan 2005 Posts: 225 Location: Siegen

Hallo zusammen,
wie kann ich zB die Daemonen exim und imap als anderen user laufen lassen?
Unterscheidet sich das von Gentoo zu Debian?

Gruss samsonus

schmutzfinger · Posted: Fri May 12, 2006 1:36 pm Post subject:

In beiden System

samsonus · Apprentice Joined: 18 Jan 2005 Posts: 225 Location: Siegen

hmm, also ich hatte bevor ich gepostet hab, natürlich in der /etc/init.d/ nachgeguckt, allerdings nirgends die stelle gefunden, wo ich den user eintragen kann.

samsonus · Apprentice Joined: 18 Jan 2005 Posts: 225 Location: Siegen

ich hab jetzt folgendes abgeändert:

Finswimmer · Posted: Fri May 12, 2006 3:24 pm Post subject:

Geraten: +x, denn der user muss es ausführen können.

Tobi
_________________
Bitte auf Rechtschreibung, korrekte Formatierung und Höflichkeit achten!
Danke

schmutzfinger · Posted: Fri May 12, 2006 3:30 pm Post subject:

Der MTA muss als root laufen, oder zumindest Teile davon. Denn er muss in die Mailboxen aller Nutzer schreiben können. Wenn dein Rechner keine Mail empfängt sondern nur routet, dann macht deine Idee Sinn. Ansonsten verlasse dich einfach darauf was die Distri vorschreibt.

sschlueter · Posted: Sat May 13, 2006 1:16 pm Post subject:

Ein MTA muss - wie viele andere Dienste auch - als root gestartet werden.

Um zu vermeiden, den Dienst vollständig und dauerhaft mit Root-Rechten laufen zu lassen, setzen die Dienste hauptsächlich je eine von zwei Techniken ein:

(1) Abgegeben der Root-Rechte nach dem Start. Dies ist möglich, wenn der Dienst nur einmal zu Beginn Aktionen ausführen muss, für die Root-Rechte benötigt werden (etwa Lauschen auf einem Port < 1024 oder Einrichten eines Tun/Tap-Devices). Beispiele: dnsmasq und openvpn.

(2) Wenn (1) nicht möglich ist, weil auch später immer wieder root-Rechte benötigt werden, werden in der Regel mindestens zwei Prozesse eingesetzt, ein priviligierter, der mit Root-Rechten läuft und mindestens ein nicht-priviligierter, der unter einer anderen Benutzerkennung läuft. Wenn ein Dienst auch ein Benutzerlogin zulässt, und dann die Benutzerkennung zu der des eingeloggten benutzers wechselt, die es in der Regel drei verschiedene Prozesse, nämlich den priviligierten, den nicht-priviligierten und den benutzerspezifischen Prozess. Die Art der Zusammenarbeit
dieser Prozesse kann sehr unterschiedlich sein, aber die Grundidee der Trennung der Rechte in verschiedene Prozesse ist die gleiche. Beispiele: apache, dovecot, openssh, postfix, vsftpd, openntpd.

Und normalerweise muss man /etc/init.d/dienst auch überhaupt nicht editieren.

(Kommandozeilen)optionen für den Aufruf des Dienstes lassen sich häufig in /etc/conf.d/dienst eintragen. Oft lässt sich die zu verwendende Benutzerkennung für den nicht-priviligierten Prozess dort eintragen.

Oft kann man diese Benutzerkennung aber auch in der Haupt-Konfigurationsdatei (oft /etc/dienst.conf) eintragen.

Aber notwendig ist es in der Regel nicht, die verwendete Benutzerkennung zu ändern.

Der einzige Grund, den ich mir vorstellen könnte, bei dem es Sinn machen würde, eine andere Benutzerkennung zu setzen, ist, wenn mehr als ein dienst diesselbe benutzerkennung für den nicht-priviligierten Prozess (etwa nobody) verwendet. Aber die Dienste verwenden in der Regel sowieso eine für diesen Dienst spezifische Benutzerkennung für den nicht-priviligierten Prozess anstelle von nobody.