SFTP接続でROOT同様権限でファイルを閲覧できない。

MrBのユーザでログインしてMrAやMrCをみたりRootと同様の強い権限で全ファイル閲覧権限を持たせるにはどのように設定をしたらいいのでしょうか？teraterm上ではwheelグループに紐づいたユーザですので「su -」をしてroot権限で他のユーザ例えばMrAやMrCをみることができているのですが、filezilla上ですとRootでのログインを禁止している状態ですしsu-というコマンドを打てないと思いますので困っています。

#FILEZILLA　エラー名

状態: "/home/MrA" のディレクトリリストを取得中...
コマンド: cd "/home/MrA"
エラー: Directory /home/MrA: permission denied
エラー: ディレクトリリスト表示の取り出しに失敗しました

様々なユーザのファイルを強い権限で閲覧やコピーする必要があります.大変お手数をおかけしますが技術者の方の知恵を拝借したくなにとぞ宜しくお願いします。

行動規範の内容に同意します

回答1件

ベストアンサー

setfaclコマンドを使って各ディレクトリに拡張ACLを設定することで実現できなくはないと思いますが、HOME以下のファイルのように常に動的に内容が変化するようなディレクトリを対象とする場合、拡張ACLの機能だと新規追加されていくディレクトリやファイルに追従しきれなくなることが容易に想像できてしまうので、rootアカウントをそのまま使うか、閲覧系コマンド以外を使うときに必ずsudoを求めてコマンドを実行するたびにログを記録するようなアカウントを別途作成して使って、SSHログインで管理するほうが要件的には合っているのではないかなと思います。

投稿2019/10/14 13:39

uzyexe

総合スコア239

退会済みユーザー

2019/10/15 08:39

回答ありがとうございます。ちなみに業者のuserid　hogeuserを visudoで　hogeuser ALL=(ALL) ALL　とした場合１root権限と同じになりますか？※hogeuserはwheelグループに所属していない。２業者に渡した場合rootのパスワードや他のパスワードもしられてしまいますか？ ※業者はrootパスワードはしらない。hogeuserだけ

uzyexe

2019/10/15 09:27

> １root権限と同じになりますか？ ※hogeuserはwheelグループに所属していない。はい、実質的にroot権限と同じ権限になりますね。頭にsudoを付けて実行したコマンドであれば、/var/log/secureに監査ログとして記録保存されるようになるという違いはあります。 > ２業者に渡した場合rootのパスワードや他のパスワードもしられてしまいますか？仮にsudo -iやsudo -sでroot権限に完全に昇格された場合でも、そのサーバに設定されている各ユーザーのログインパスワードを知ることは一般的な操作ではできません。ただし、意図的な悪意をもって解析する意思がある場合については、パスワード解析ツールなどを使用して解析することは不可能ではないと思います。（とはいえ、この手のリスクを考えていたらキリがないので、業者さんに管理を委託するという話であれば、そのあたりのリスクについては委託契約の契約書や秘密保持契約などの法的な手段でカバーすべき範囲ですね。）

退会済みユーザー

2019/10/18 13:14

丁寧にありがとうございます。

退会済みユーザー

2019/11/27 08:48

すみません。本件uzyexeさんにお伺いしたい事がいくつかあるのですがよろしいですか？

uzyexe

2019/11/28 01:20

はい、大丈夫です

退会済みユーザー

2019/11/28 04:06

先般は丁寧に回答頂いてありがとうございました。実は本質問と全く同じ壁にぶち当たっている状況です。つまりこれです。「filezilla上でMrBのユーザでログインしてMrAやMrCをみたりRootと同様の強い権限で全ファイル閲覧権限を持たせるにはどのように設定をしたらいいのでしょうか？」 setfaclはuzyexeさんのおすすめの通り実施する事はやめました。こちらの要件はGUIでFilezillaのようにさくっとファイルを手動でダウンロードしたりインポートしたいです。＞SSHログインで管理するほうが要件的には合っているのではないかなと思います。これはGUIでさくっとダウンロードインポートするのではなく、CUIでSSHログインする話ですよね？どうしても日常的にファイルのアップロードをしますのでGUIで扱いたいです。理解いただけると思いますがROOTを開放するのはとても抵抗があります。Filezillaというソフトに固執しているつもりはありませんが、CUIでコマンドを打つのではなく、GUIでさくっと「違うユーザのファイルなど強い権限で」閲覧・ダウンロードする方法はないでしょうか？

退会済みユーザー

2019/11/28 04:07

非常に詳しく丁寧で複数の回答をuzyexeさんからは頂いておりましたので、uzyexeさんの情報なら信頼できるなと思い敢えて相談させて頂きました。要件は、GUIでさくっとアップロードダウンロードしたい　です。お手数をおかけします。

uzyexe

2019/11/28 07:29

もしかすると、下記サイトを参考に設定して、Filezillaではなく、WinSCPを使うとできるかもしれません。 https://forums.cpanel.net/threads/winscp-changing-user-on-login-via-sudo.334882/#post-1358141 が、すいません。。手元にWIndowsマシンがないので、私のほうでは動作確認することができません。。

行動規範の内容に同意します