Progetto: Gestione Utenti TechStartup

I gruppi vanno creati prima degli utenti. Assegnare un utente a un gruppo inesistente restituisce un errore.

$ sudo groupadd dev && sudo groupadd ops && sudo groupadd security

(nessun output = successo)

• ·-m (--create-home) — crea la home directory dell'utente (/home/marco ecc.). Senza, l'account esiste nel sistema ma non ha cartella personale e il login non funziona normalmente.
• ·-s /bin/bash (--shell) — imposta bash come shell di login. Senza questa flag la distro potrebbe assegnare /bin/sh o nessuna shell interattiva.
• ·-G dev (--groups) — assegna dev come gruppo supplementare al momento della creazione. Il gruppo primario resta quello omonimo all'utente (marco, sara, luca).

$ sudo useradd -m -s /bin/bash -G dev marco
sudo useradd -m -s /bin/bash -G dev sara
sudo useradd -m -s /bin/bash -G dev luca

(nessun output = successo)

Il formato di getent group è nome:password:GID:membri. Il campo password è sempre "x" (gestita da /etc/shadow, non qui). id mostra gid (gruppo primario dell'utente) e groups (tutti i gruppi a cui appartiene, primario incluso).

$ getent group dev
id marco

dev:x:1001:marco,sara,luca
uid=1001(marco) gid=1004(marco) groups=1004(marco),1001(dev)

• ·-m -s /bin/bash — garantisce home directory e shell interattiva. Senza, l'account esiste tecnicamente ma non è usabile per fare login.
• ·-G ops — ops è il gruppo con accesso a log e backup. Assegnarlo qui evita un usermod separato dopo la creazione.

$ sudo useradd -m -s /bin/bash -G ops giulia
sudo useradd -m -s /bin/bash -G ops antonio

(nessun output = successo)

Valentina deve leggere le directory di tutti i team. Questo si ottiene aggiungendola ai gruppi dev, ops e security come gruppi supplementari.

$ sudo useradd -m -s /bin/bash valentina
sudo usermod -aG dev,ops,security valentina

(nessun output = successo)

Prima di creare le directory è fondamentale avere la certezza che tutti gli utenti siano nei gruppi corretti. Un errore qui — un utente mancante o nel gruppo sbagliato — si propaga nei permessi delle directory ed è difficile da rintracciare dopo.

$ getent group dev
getent group ops
getent group security
id valentina

dev:x:1001:marco,sara,luca
ops:x:1002:giulia,antonio
security:x:1003:valentina
uid=1006(valentina) gid=1009(valentina) groups=1009(valentina),1001(dev),1002(ops),1003(security)

• ·/srv è la directory standard Linux per dati serviti da applicazioni e servizi (definita dall'FHS, Filesystem Hierarchy Standard). Non /home (dati utente) né /tmp (temporanei).
• ·Si crea prima la directory padre, poi le figlie. In alternativa si può usare mkdir -p con espansione: mkdir -p /srv/techstartup/{codice,log,backup}.

$ sudo mkdir /srv/techstartup
sudo mkdir /srv/techstartup/codice /srv/techstartup/log /srv/techstartup/backup
ls -la /srv/techstartup/

total 20
drwxr-xr-x 5 root root 4096 gen 15 10:23 .
drwxr-xr-x 3 root root 4096 gen 15 10:23 ..
drwxr-xr-x 2 root root 4096 gen 15 10:23 backup
drwxr-xr-x 2 root root 4096 gen 15 10:23 codice
drwxr-xr-x 2 root root 4096 gen 15 10:23 log

• ·chown root:dev — imposta root come owner e dev come gruppo proprietario. Il formato è sempre utente:gruppo.
• ·chmod 770 — in ottale: owner=rwx (7), gruppo=rwx (7), altri=--- (0). Dev legge, scrive ed esegue; chiunque altro non ha nessun accesso.

$ sudo chown root:dev /srv/techstartup/codice
sudo chmod 770 /srv/techstartup/codice

(nessun output = successo)

• ·log (chmod 770 = rwxrwx---) — ops deve poter aggiungere voci ai log, quindi serve la scrittura per il gruppo.
• ·backup (chmod 750 = rwxr-x---) — ops può leggere i backup ma non modificarli o eliminarli. Il valore 5 = r-x: lettura ed esecuzione, nessuna scrittura. I backup sono dati critici: limitare la scrittura riduce il rischio di cancellazioni accidentali.

$ sudo chown root:ops /srv/techstartup/log && sudo chmod 770 /srv/techstartup/log
sudo chown root:ops /srv/techstartup/backup && sudo chmod 750 /srv/techstartup/backup

(nessun output = successo)

Il momento della verità. sudo -u simula il login come quell'utente senza aprire una sessione completa.

$ sudo -u marco ls /srv/techstartup/codice && echo "marco: accesso OK"
sudo -u valentina ls /srv/techstartup/codice && echo "valentina: accesso OK"
sudo -u giulia ls /srv/techstartup/log && echo "giulia: accesso log OK"

marco: accesso OK
valentina: accesso OK
giulia: accesso log OK

2>&1 redirige stderr (canale 2) su stdout (canale 1). Senza questa redirezione, il messaggio "Permission denied" verrebbe scritto su stderr e potrebbe non apparire nel terminale a seconda del contesto. Qui serve per vedere l'errore nell'output normale.

$ sudo -u giulia ls /srv/techstartup/codice 2>&1

ls: cannot open directory '/srv/techstartup/codice': Permission denied