如何安全地允许Bob读取/ var / log /中的某些文件？

Question

这是我的第一个问题。

我正在使用Centos服务器。

我想知道如何允许完全非sudoer用户（让他们称之为Bob）来读取/ var / log中的特定文件。我希望能够在不成为root用户的情况下读取一些日志，并且无需使用我的日志文件。

目前，

• 我创建了一个名为＆＃34; loggers＆＃34;
的组
• 我将Bob添加到了小组
• 我为Bob想要阅读的文件制作了一个chgrp
• 我将文件权限从600更改为640。

有没有更好的（安全的）方法来做同样的事情？

Answer 1

如果您对特殊群体感到满意，那就是这样做的方法。另一种方法是使用ACL，它们是标准的unix权限的附加值。您将日志文件返回到其原始的unix权限，然后允许Bob使用类似

的内容

setfacl -m user:Bob:r-- /var/log/mylogfile.log

在某些情况下，ACL是不利的，特别是在跨服务器或文件系统进行文件备份/迁移的情况下。但是，情况并非如此。