Best practice per le autorizzazioni utente linux per l'esecuzione dell'applicazione web come?

Question

Vedo molti consigli diversi online su dove servire la tua applicazione web, su quale utente eseguirlo come, ecc.

Per esempio, l'ho visto servito da:/var/www/site ,/srv/www/site,/home/$ USER/sito.

Ho visto l'utente essere www-data, $ USER (ovvero il mio account utente) o un utente personalizzato creato appositamente per tale scopo (ad esempio, utente uwsgi).

In termini di sicurezza, qual è lo schema migliore che potrei scegliere?

Per riferimento, sto cercando di installare un sito Django con Nginx e uwsgi.

In questo momento, uwsgi è in esecuzione come root in modalità imperatore, con uid/gid impostato come www-data, quindi i vassalli generano le stesse autorizzazioni degli operatori Nginx. Sto servendo da/a casa, ma pensando di trasferirmi.

Answer 1

Per la posizione, scegliere ciò che sembra meglio per voi. Ecco alcune considerazioni a dare una mano:

• posizioni sotto /var sono i file che change in size, o in generale sono "variabile".
• /srv indica generalmente file relativi ad alcuni servizi in esecuzione sulla macchina.
• /home di solito deve essere riservato per gli utenti interattivi. Tuttavia, puoi impostare la directory home di un utente di sistema su qualsiasi cosa.

Per motivi di sicurezza, è necessario segmentare il più possibile. L'app non deve essere eseguita come lo stesso utente del server Web, in modo che non possa essere utilizzata in modo improprio per leggere i file sensibili relativi al server stesso (.htaccess o qualsiasi altra cosa). I file binari dell'app (o per Django, l'origine python) dovrebbero essere di proprietà di root, senza accesso in scrittura all'utente dell'applicazione.

Ecco i miei 2 centesimi su come configurarlo:

• Django app: /usr/lib/appname/ o /usr/lib/python/site-packages/appname/ se installato. Di proprietà di root, chmod 644.
• File dell'applicazione (ad esempio, file sqlite db, socket Unix per FastCGI, archiviazione file caricata, ecc.): /var/lib/appname/. Di proprietà dell'utente app, chmod 600.
• La shell utente dell'applicazione è /bin/nologin, la casa è /var/lib/appname/. L'utente non ha una password configurata.