Ubuntu Sverige

Nu när det är passande väder tänkte jag komma till skott med att sätta upp den backup över nätverk som jag ideat på så länge.
Och i min research har jag från olika källor förstått det där med att använda sig av root är något man undviker så långt som möjligt.

Min idé är att ha en central backup function i servern i form av script som körs via cron. Backup:en av respektive burk görs med rsync över ssh.
Tanken är också att kunna köra med backup-partitionen mount -ro mellan backuperna för att under tiden de görs montera den -rw.

Ssh är uppsatt så att adminkontona (sudo:arna) på alla burkar och server kan nå alla andra sudo:ar (men inte användare).

Det som jag har svårt att greppa är hur jag skall kunna köra dessa cron-jobb på servern utan att involvera root.
Jag har i och för sig skapat en backup-användare i servern som kan ssh:a användarna på de olika burkarna.

Krångligt?
Jag förtydligar gärna!

Det finns ju lite olika sätt att angripa det här problemet, men grundprincipen att utgå ifrån är att den användare som ska samla ihop datat för backupen behöver rättigheter att göra detta. Jag har själv funderat mycket på detta och har tidigare kört en liknande lösning som du funderar på där backuperna hämtas från en central server, men har nu frångått detta då det inte känns helt bra ur säkerhetssynpunkt. Så de tre huvudalternativ jag kan se är följande:

1. Lev med att det är och förblir root som kommer logga in på alla burkar och hämta backuper.
2. Använd dig av acl. Acl (Access Control List) låter dig sätta fler rättigheter på filer än bara default i ett UNIX-system (user, group, world). http://www.danielholm.se/dagens-kommand ... ists-linux
3. Använd en klient på varje server som samlar ihop backuperna.
3a. Låt klienten skicka in datat till backup-servern.
3b. Låt backup-servern gå ut och hämta det ihopsamlade datat på en plats där man inte behöver använda sig av root-användaren.

1. Lev med att det är och förblir root som kommer logga in på alla burkar och hämta backuper.

På något sätt känns det som om detta är en utmaning man inte bara kan släppa så där utan vidare. Får se det som sista utväg.

2. Använd dig av acl. Acl (Access Control List) låter dig sätta fler rättigheter på filer än bara default i ett UNIX-system (user, group, world). http://www.danielholm.se/dagens-kommand ... ists-linux

Intressant spår som jag faktiskt inte såg förrän senast igår; det där med "fine grained rights". Detta skall jag definitivt titta närmare på.

3. Använd en klient på varje server som samlar ihop backuperna.

Inte riktigt säker på vad du menar, menar du en användare som samlar in backuperna till servern för att göra dem tillgängliga för server-root att backup:a lokalt?

3a. Låt klienten skicka in datat till backup-servern.

Aha, "collectorn" jobbar lokalt.

3b. Låt backup-servern gå ut och hämta det ihopsamlade datat på en plats där man inte behöver använda sig av root-användaren.

Skulle då kunna vara på klient/användar sidan på servern?

Jag skall definitivt titta närmare på ACL och vad det kan göra.
På det stora hela känns det som en sådan där sak (utmaning) som man (jag) inte kan släppa förrän alla möjligheter prövats

Efter ett antal timmars studier över google är detta något som ligger nära till hands för mig att använda som bas för att gå vidare med när jag sätter upp det:
http://www.google.com/search?client=ubu ... 8&oe=utf-8
https://github.com/brettalton/rsync-ove ... r/rsync.sh
http://www.mikerubel.org/computers/rsync_snapshots/

Hej,

Det som jag har svårt att greppa är hur jag skall kunna köra dessa cron-jobb på servern utan att involvera root.

Ursäkta en kanske liten nyfiken fråga. Vad är anledningen till att ta backup av filer som ägs av root-användaren ?

Gunne skrev: Ursäkta en kanske liten nyfiken fråga. Vad är anledningen till att ta backup av filer som ägs av root-användaren ?

Nej, ta backup på "rotsaker" kommer jag inte göra, utan problematiken är den att det per default är så att man måste vara root för att hantera andras filer och det är detta jag söker lösning på.

Helt enkelt...

Nej, du kommer inte undan att du måste vara root och därmed kunna uppträda som alla inblandade användare, eftersom resultatet skall bli som om varje användare själv hade tagit backup....

Root alltså.
Hmm, låter som om jag får läsa in mig på Acl som amelia tipsar om och ta en sväng till, med tänkarhatten på.

Jag kör rsnapshot som överför backuper via ssh. För att slippa logga in som root via ssh har jag skapat en begränsad användare med uppgift att göra backuper. Denna användare ges tillåtelse att köra ett backupscript med "root-rättigheter" utan krav på lösenord genom att ange i sudoers-filen att endast detta kommando får denna användaren köra som root med hjälp av sudo. Man använder kommandot visudo för att redigera sudo-rättigheterna.

http://blog.innerewut.de/2005/06/03/fol ... -rsnapshot

Se avsnittet där han skriver:
"We need to allow the backup user to have access to all files when using rsync. Therefore we need to install sudo on the remote server and allow the backup user to call sudo rsync without using a password."

Alternativt om du har som default i ubuntu att alla användare kan läsa varandras filer så kan man ju låta en vanlig användare backuppa även andras filer (alla normala användare tillhör gruppen users).

+1 Amelia
+1 Osprey
+1 ronnylov

Har slutligen hittat rätt i tanken. Sätter lösningsflaggan på Amelia då det lutar åt hennes lösning.

Låt cronjobbet som gör backup på varje maskin skicka över sin data med scp till backupservern?

edit: OPS! Var inte meningen att bumpa en gammal tråd