php - tipos - Usuarios y grupos de Linux para un servidor LAMP
ver id grupo linux (5)
¿Cuál es la mejor práctica para configurar un servidor LAMP en términos de usuarios y grupos de linux? Si hay varios sitios alojados en el mismo servidor, es mejor tener un único usuario que posea todos los archivos fuente del sitio (y cargas) que estén en el mismo grupo que apache, o tener un usuario diferente para cada sitio (para que cada sitio tiene su propio crontab)? ¿O algo completamente diferente?
Por alguna razón, esta pregunta nunca parece abordarse en los libros PHP / MySQL / Linux que he encontrado.
En nuestra plataforma, los htdocs de cada sitio, etc. tienen su propio usuario. Esto significa que si un sitio está comprometido, los demás deberían estar bien.
Si se trata de una pequeña cantidad de sitios grandes, es posible que dividir el servidor en varias máquinas virtuales utilizando algo como Xen sea una mejor opción que simplemente segregar por usuario. Esto mejorará el aislamiento de sus sitios y facilitará el traslado de un sitio a su propio hardware si, en el futuro, uno empieza a ser mucho más pesado en el uso de recursos que los demás.
Supongo que no quiere volverse loco y obtener WHM para cPanel y puede que quiera hacerlo de manera inexperta.
Creo que es una buena práctica que cada usuario acceda a su espacio desde su propio nombre de usuario y grupo, especialmente si los usuarios no relacionados pueden estar usando el servidor web.
Si tiene más de 10 dominios y usuarios y desea mantener las cuentas segregadas en su propio espacio, consideraría usar Webmin con VirtualMin instalado en el servidor. Esto maneja fácilmente este tipo de problemas, dentro de una instalación agradable y gratuita. De lo contrario, tendrá que comprar un producto comercial o manejar todo manualmente, un verdadero dolor, pero se puede hacer (no se recomienda para una empresa comercial).
Además, Xen y VMS pueden ser excesivos, pero tampoco tan fáciles de administrar como Webmin / VirtualMin para cuentas de 10-100 +.
La mejor opción es crear VirtualHost para cada dominio usando Apache con el módulo suPHP. De esta forma, cada sitio será propiedad de un usuario y se ejecutará con el permiso de ese usuario. Webroot de cada sitio debe ponerse bajo el directorio del usuario para evitar un ataque local.
Si utiliza el mismo usuario para cada sitio web, eso significa que el usuario del sitio web A puede acceder a la lectura / escritura en los archivos del sitio webB.
Hice algún tipo de hosting de nivel pequeño durante varios años y mi respuesta es "Depende".
En primer lugar, existe una diferencia entre el módulo de Apache (mod_php). CGI y FastCGI. Una buena lista con todos los pros y contras se puede encontrar aquí: modos Apache php
Cuando se trata de seguridad, todos los modos tienen sus pros y sus contras.
Dado que solo alojamos una cantidad relativamente pequeña de dominios con tráfico moderado, decidí quedarme con mod_php y utilizar la configuración de vhost.
También utilicé diferentes usuarios de FTP para cada directorio raíz de vhost (por supuesto).
La configuración de los fantasmas (uno por cliente) le permite desactivar los dominios de la manera más fácil sin tener que abrirse paso a través de un httpd.conf ridículamente grande y producir errores en el camino.