Astra linux разрешить пользователю монтировать флешку

Astra Linux Domain и USB-накопители с NTFS

Админю Astra Linux Domain (Astra Linux 1.4 SE), завел компьютеры в домен. Пользователей создаю с дефолтными настройками, но делаю дополнительно членами групп fuse, floppy и disk. Все флешки зарегистрированы в домене по серийному номеру, но при подключении накопителя и попытке смонтировать от пользователя, не имеющего прав root, появляется сообщение об ошибке монтирования и недостатке полномочий. При этом на той же машине при входе под локальным пользователем накопитель монтируется без проблем (используется ntfs-3g).

Как дать пользователям домена возможность монтировать USB-накопители, отформатированные в NTFS, без предоставления прав суперпользователя? Вариант с FAT32 не интересует, там всё работает, однако, часто портятся имена файлов. Нужно решение именно для NTFS.

Добавь пользователя в группу disk.

регистрацию носителей в нулевом контексте делали?

А эти пользователи не смогут затем сделать fdisk любому диску? Или dd if=/dev/zero of=/dev/sda

The disk device nodes are group accessible to disk so that programs that need access to them will set their group ID to be disk. This group has write access to all the raw disk devices (/dev/hd* and /dev/sd*), so assigning users to group disk is both dangerous and a security risk.

greenman ★★★★★ ( 07.07.16 21:41:37 MSK )
Последнее исправление: greenman 07.07.16 21:50:12 MSK (всего исправлений: 2)

Права доступа на файл самого диска в dev выставляет root. Я бы на твоём месте просто проверил на тестовой машине.

 ls -la /dev/sda* brw-rw---- 1 root disk 8, 0 июл 7 21:27 /dev/sda brw-rw---- 1 root disk 8, 1 июл 7 21:27 /dev/sda1 

Господа, проблема решена благодаря специалисту из РУСБИТЕХа.

Решение: при регистрации Flash-накопителей с NTFS на уровне Astra Linux Domain в поле «Режим доступа» нужно вместо 0 указать 770. Кроме того, каждому пользователю нужно явно задать нижний мандатный уровень как нулевой. Да, в утилите fly-admin-smc он и так показывает, что у пользователя нижняя метка нулевая, но всё равно эту операцию нужно проделать вручную.

Примечание: права на доступ к устройствам ОС получает в момент авторизации пользователя. После изменения настроек в домене нужно перелогиниться, тогда все заработает.

Примечание 2: Лучше вообще не использовать носители с не-EXT’овыми ФС.

«. каждому пользователю нужно явно задать нижний мандатный уровень как нулевой. Да, в утилите fly-admin-smc он и так показывает, что у пользователя нижняя метка нулевая, но всё равно эту операцию нужно проделать вручную. «

Этот пункт планируют пофиксить или останется на долгие годы?

Похожие темы

• Форум Уважаемым Гуру. (2008)
• Форум install Astra (2022)
• Форум Astra Linux (2023)
• Форум Astra Linux (2017)
• Форум AverMedia + Astra (2018)

• Форум domain (2003)
• Форум Монтирование и размонтирование фс ntfs в ос astra linux 1.5. (2017)
• Форум 2 внешних диска: непонятное событие -> «все пропало» (2020)
• Форум IPSec astra (2017)
• Форум astra linux (2015)

Источник

Смоленск 1.6 Подключенный к домену Windows пользователь не может монтировать флешь накопители

Домен Windows 2012. Подключение происходит через Active Directory Fly. Находясь в доменной учетной записи на Astra Linux SE 1.6 со всеми обновлениями на 06.01.2020 пользователь (с правами пользователя домена) не может монтировать флешь накопитель формата vfat (ntfs не проверял). При этом внешние жесткие диски (с наиболее популярными файловыми системами) и приводы монтируются без проблем в ручном режиме.
До обновления при монтировании с панели управления пользователя было сообщение: «only root can mount /dev/sdb1 on /run/user/3000/media/by-uuid-88B2-8907» (на примере моей флешь), после установки обновлений: «mount: /dev/sdb1: Операция не позволена.»
Нужен вариант, когда несколько пользователей, используя данный компьютер, под разными, своими, доменными учётными записями (чтобы не под каждого пользователя прописывать), могли монтировать и соответственно размонтировать свои флешь накопители.

Montfer

New member

koksma4kin

New member

Мне не нужно прописывать каждую флешку пользователя в организации, да и не получилось у меня это по существующим описаниям на форуме и в сети. Пробовал, редактировать файл sudoers — не помогло. Редактирование /etc/fstab.pdac также не дало результатов. Перевод доменного пользователя в группу floppy и root (по-отдельности и вместе) не возымело действия (переводится, но не работает). В данный момент при вызове команды groups выдаёт:
ZGIPN\пользователи домена ZGIPN\закупки BUILTIN\users
Нашел такую статью, мне кажется, что это может помочь, но я просто не понимаю написанного, надо разжевать https://www.linux.org.ru/forum/admin/12723516
Возможно еще https://forum.astralinux.ru/threads/152/
где
%PetrovAA ALL=(ALL:ALL) NOPASSWD: ALL
или
%domain\\domain_user ALL=(ALL) NOPASSWD: ALL
или
%domain\domain_user ALL=(ALL) NOPASSWD: ALL,
но не смог настроить ни под конкретного пользователя, ни под всех пользователей компьютера сразу (мне надо для всех доменных пользователей данного компьютера)

oko

New member

to koksma4kin
Права на доступ к flash определяются оснасткой fly-admin-smc на сервере-контроллере ALD для каждой уч.записи или для их групп. Если вы Astra Linux ввели в домен Windows и, соответственно, не имеете выделенного сервера-контроллера ALD, то и решить эту задачу никак не сможете (вменяемым способом).
Скорее всего, утилита fly-admin-smc, запущенная на машине-клиенте локально, увидит только локальных пользователей, а про доменные уч.записи знать ничего не будет. Можете посмотреть в эту сторону, но модуль экстрасенсорики подсказывает, что результат будет 0.
Как вариант, через ту же утилиту прописать всей группе USB flash права на разрешения для любых пользователей. Но тут проблема эксплуатации и безопасности — решайте, насколько такой вариант допустим.

Источник

Astra Linux Special Edition 1.5 ⬝ Разграничение доступа к USB-носителям

При создании нескольких правил с одним идентификатором (например только ID_SERIAL) для одного носителя под разными уровнями udev будет обрабатывать только одно из этих правил.

Для запрета монтирования всех USB-носителей, кроме разрешенных, потребуется вывести пользователей из групп floppy и fuse.

Группа fuse так же используется для подключения samba ресурсов. Если предполагается использование samba ресурсов, используйте другой способ запрета монтирования, например: для запрета монтирования USB-носителей с файловой системой ntfs необходимо снять suid бит с /bin/ntfs-3g.

В более поздних версиях Astra Linux группа fuse не используется. Порядок работы с конфиденциальной информацией на USB-носителях для этих версий см. в статье Съемные носители в Astra Linux.

Мандатное разграничение доступа возможно только на файловых системах, поддерживающих расширенные атрибуты. Для USB-носителей это файловые системы Ext2/Ext3/Ext4.

Для создания правила и разграничения доступа к носителю запустить fly-admin-smc (Политика безопасности), открыть закладку «Доступ к устройствам», ЛКМ «Устройства и Правила» и ЛКМ «+» («Создать» в верхней панели»).

После появления окна подключения и информации подключить заранее созданный носитель (см. ниже). После определения устройства нажать на название носителя (пример на снимке 1)

В свойствах устройства выставить флаг в чек-бокс «Включено», ввести имя носителя в поле «Наименование» (снимок 2)

Перейти в закладку «Общие», выставить флаги (разграничить доступ) в чек-боксах владельца, группы и остальных, выставить в выпадающих меню пользователя и группу (снимок 3)

Нажать «Применить» (зеленая галочка на панели инструментов)

Для того, чтобы изменения ограничений мандатного доступа вступили в силу, следует переподключить носитель.
Для того, чтобы можно было получить доступ к носителю после перезагрузки компьютера следует переподключить носитель.

Дискреционная настройка носителя

Для корректного монтирования EXT-раздела в ОС Astra Linux необходимо изменить владельца носителя, права доступа и ACL. Для этого требуется смонтировать носитель и поменять владельца. Порядок действий:

Создать временный каталог:

Создание правил для многоуровневого флеш-накопителя

1. Создать на накопителе несколько Ext2 разделов;
2. Задать метки разделам(Label), например: ns, dsp, sec, ss;
3. Зарегистрировать правило для каждого раздела, используя ID_SERIAL_SHORT и ID_FS_UUID, установить мандатный уровень, дискретные права пользователя и группы;
4. После регистрации правил установить дискретные права доступа на корневой каталог каждого раздела, как указано выше.

Источник