【CentOS7】鍵認証でログインしたユーザの行動範囲を限定したい

Question

前提

あまりサーバに詳しくはありません。

質問

CentOS7のサーバに、複数のユーザアカウントを作っています。
この時、鍵認証でリモート接続を行った時、
ユーザA（管理者権限）のファイルを、ユーザB（通常ユーザ）が削除できてしまいます。
これを阻止したいのですがどのようにすればいいでしょうか。

ユーザディレクトリ自体は、権限755にしてあります。
これは、Webサーバをユーザディレクトリにディレクション（？）してあり、
権限755にしていないと外部からブラウザアクセスができないからです。

かなり初心者な質問かもしれませんが、やり方をご存じの方がいらっしゃいましたらご教示頂けますと幸いです。

追記

それぞれのユーザフォルダに
/home/ユーザ名/public_html/
を設置し、Webサイトを公開したいので、ユーザフォルダの権限を644にすることができません。
644にすると、ブラウザからサイトが見えなくなってしまいます。

できれば、一般ユーザが鍵認証でリモートログインした場合、そのユーザのユーザディレクトリ内だけしか見れない、触れないようにしたいです。
よろしくお願いいたします。

Answer 1

状況がよく見えないので端的になりますが、
単純にユーザAの作ったファイルをユーザBが削除出来ないようにしたいのであれば、
その”ファイル”のパーミッションを644にすればOKです。
ディレクトリのパーミッションはそのままでファイルのパーミッションだけ変更すればブラウザから見えなくなるということも無いはずです。（cgi等の実行が必要なファイルは除く）

Comments

[nnahito]

ご回答有り難うございます。

確かに、ユーザフォルダを644にすれば良いのですが、
Webサイトのフォルダを「~/ユーザ名」にしたいために、
/home/ユーザフォルダ/public_html/
に、Webページ用のフォルダを設置しております。
ここで、ユーザフォルダの権限を644にしてしまうと、Webブラウザからアクセスできなくなってしまいます。

更に、/var/や/etc/などのフォルダも見えてしまうのは良くないと思います。
一般権限のユーザは、鍵認証接続でできれば、/home/以下、または、自身のユーザフォルダ内までしか移動できないようにしたいのです。
こちらは可能なのでしょうか？
よろしくお願いいたします。

[tanat]

ディレクトリとファイルではパーミッションの意味が違います。
”ファイルのパーミッション”を644にすればOKです。

他の要件が出てきたので。。。
お望みの事はchroot
http://d.hatena.ne.jp/flageo/20090215/p1
で対応できると思いますが、
率直な感想としてはちゃんと運用と合わせて設計/設定が出来る人に依頼する必要がある状況であるように思いますよ。

[tanat]

具体的にはシステムを見られて困るのであればそもそもSSHでログインさせない方がいい、とか、ユーザアクセス制御の設計は最初に行うべき部分で後からだとどうしても限界がある。。。とかそういった部分になります。

[kaz.Suenaga]

`public_html パーミッション` あたりで検索してみましょう。

[nnahito]

ご返信有り難うございます。

>”ファイルのパーミッション”を644にすればOK
実際そのユーザでログインして試したのですが、パーミッション777のフォルダに入れたパーミッション644のファイルが削除できてしまいます。
なので困っています。
$ rm test.txt
書き込み保護されたファイルを削除しますか？ y
→削除される

>他の要件が出てきたので。。。
>お望みの事はchroot
>http://d.hatena.ne.jp/flageo/20090215/p1
>で対応できる
ありがとうございます。
こちらのコマンドは初めて知りました。
調べてみます。

>率直な感想としてはちゃんと運用と合わせて設計/設定が出来る人に依頼する
これですと、勉強にならないので意味がなくなってします。。。
というか、知識をつけるためにあれこれ試している最中です。

>ユーザアクセス制御の設計は最初に行うべき部分で後からだとどうしても限界がある
最初に設定もできるのですか？
どのように設定していくのでしょうか？
設計…と言われても、CentOSをインストールした時点で、終わっているのではないでしょうか？

>`public_html パーミッション` あたりで検索してみましょう
ありがとうございます。
こちら調べてみます。

[tanat]

>実際そのユーザでログインして試したのですが、パーミッション777のフォルダに入れたパーミッション644のファイルが削除できてしまいます。
なので困っています。

パーミッション755のディレクトリの中の644のファイルというのが今回のケースだと思いますが、それでも他人が消せてしまいますか？

[nnahito]

ご回答有り難うございます。
パーミッション755だと、削除できませんでした。失礼しました。