Пользователи и права на Linux-сервере: что проверить заранее

Сначала определите, кому и зачем нужен доступ

На сервере с Debian 12 или Ubuntu 24.04 за 15–30 минут можно настроить отдельную учётную запись администратора и выдать приложению доступ только к его каталогу. Это важно не для порядка в списке пользователей: если приложение взломают или ошибочная команда удалит файлы, права определят, какой ущерб возможен.

Дальше — инструкция для нового администратора с именем ops, системной учётной записи приложения appsvc и каталога /srv/myapp. Если выбираете другие имена или путь, замените их во всех командах. Не начинайте с изменения настроек SSH и не закрывайте текущую сессию, пока не проверите новый вход.

Что нужно иметь до начала

• Сервер на Debian 12 или Ubuntu 24.04. Команды рассчитаны на эти версии и могут отличаться в других дистрибутивах.
• Текущую SSH-сессию с правами root или работающей командой sudo.
• Доступ к консоли сервера через панель хостинга на случай, если SSH-вход перестанет работать.
• Понимание, какой процесс будет запускать приложение и где лежат его файлы. Не меняйте владельца каталога вслепую: в уже работающем проекте его может ожидать другой сервис.

Сначала проверьте, кто вы и какие права у текущей учётной записи:

whoami
id
command -v sudo

Если первая команда показывает не root, а sudo не найден, войдите под root через доступный способ управления сервером. Не продолжайте, пока не ясно, как получить административный доступ.

Настройте учётную запись администратора

1. Создайте отдельного пользователя. Команда попросит задать пароль и заполнить необязательные поля. Введите пароль в интерактивном приглашении: символы при наборе могут не отображаться, это нормально.

   sudo adduser ops

   Если вы уже работаете в root-сессии, выполните ту же команду без sudo: adduser ops. Проверка: id ops выводит UID и основную группу пользователя.

2. Разрешите административные команды через sudo. В Debian и Ubuntu для этого добавляют пользователя в группу sudo. Не заменяйте команду на вариант без -a: он может удалить пользователя из других дополнительных групп.

   sudo usermod -aG sudo ops

   Проверка: id ops показывает группу sudo. Чтобы применилось членство в новой группе, войдите под пользователем ops заново. Затем проверьте разрешённые команды: sudo -l. В root-сессии команду изменения группы можно выполнить без sudo.

3. Проверьте новый вход, не закрывая старый. Откройте второе окно терминала, подключитесь по SSH под ops и выполните sudo -v. При успешной проверке команда завершится без ошибки. Если сервер не принимает нового пользователя, текущая сессия останется доступной для исправления.

Администратор и приложение — разные роли. У приложения обычно нет причины получать доступ к sudo, а у администратора — запускать рабочий процесс от имени root.

Создайте учётную запись для приложения

Приложению, которому не нужен интерактивный вход, подходит системный пользователь без домашнего каталога и оболочки входа. Это не универсальная настройка для любого сервиса: сначала проверьте, от какого пользователя его запускает ваш менеджер процессов.

1. Создайте пользователя приложения.

   sudo useradd --system --user-group --no-create-home --shell /usr/sbin/nologin appsvc

   Проверка: id appsvc показывает пользователя и его группу. Учётная запись не предназначена для обычного SSH-входа; не выдавайте ей административные права.

2. Выделите приложению отдельный каталог. Следующая команда создаёт /srv/myapp с владельцем appsvc, группой appsvc и правами 750. Используйте её для нового каталога; если путь уже занят данными, сначала проверьте содержимое и владельца.

   sudo install -d -o appsvc -g appsvc -m 0750 /srv/myapp

   Проверка владельца и режима:

   stat -c '%U:%G %a %n' /srv/myapp

   В результате ожидается строка appsvc:appsvc 750 /srv/myapp. Дополнительно проверьте, что пользователь приложения может читать каталог и записывать в него:

   sudo -u appsvc test -r /srv/myapp && echo read-ok
   sudo -u appsvc test -w /srv/myapp && echo write-ok

   Проверка: появились строки read-ok и write-ok. Она не подтверждает, что приложение настроено правильно, — только проверяет доступ от имени выбранного пользователя.

Как читать права и не открыть лишний доступ

В режиме 750 владелец может читать, записывать и входить в каталог; группа — читать и входить; остальные не получают прав. Для каталога право «вход» означает возможность пройти внутрь, а не запустить его как программу.

Дополнительная группа — группа, членство в которой добавляет пользователю права на файлы или команды. Например, sudo даёт административный доступ по правилам системы. Проверяйте группы командой id имя_пользователя; смена членства обычно требует нового входа.

Не используйте chmod -R 777 как способ «починить доступ». Так вы разрешите чтение, изменение и запуск файлов всем пользователям, а рекурсивное изменение может затронуть исполняемые файлы, конфигурацию и данные. Сначала выясните, кто должен читать или менять конкретный путь:

namei -l /srv/myapp

Команда показывает права на каждом участке пути. Если у пользователя есть права на конечный каталог, но нет права прохода по одному из родительских каталогов, доступ всё равно не сработает.

Если не получилось

Тексты сообщений могут немного различаться между версиями и локализациями. Сверяйте не только сообщение, но и имя пользователя, команду и путь.

• sudo: command not found. Команда sudo не установлена или недоступна в PATH. Войдите через root и, если пакетный менеджер доступен, установите пакет sudo командой apt update && apt install sudo. Затем повторите настройку группы.
• user 'ops' does not exist. Пользователь не создан или в команде указано другое имя. Проверьте список записи командой getent passwd ops; если вывода нет, повторите создание.
• Sorry, user ops may not run sudo. Учётная запись ещё не получила административное разрешение либо вы проверяете старую сессию. Убедитесь, что id ops показывает группу sudo, затем выйдите и войдите снова.
• Permission denied. Проверьте права на весь путь командой namei -l /srv/myapp, владельца — через stat, а также пользователя, от имени которого запущен процесс. Не выдавайте права всем вместо поиска конкретного ограничения.

Что делать дальше

После настройки сохраните имена учётных записей и назначение каталогов в документации проекта. Проверьте конфигурацию службы: она должна запускать приложение от имени appsvc, если именно эта учётная запись владеет его файлами. Перед изменениями в SSH отдельно проверьте новый вход и оставьте доступ к консоли хостинга.

Следующий практический шаг — пересмотреть права существующих каталогов и убрать доступ, который приложению не нужен. Смотрите на владельца, группу и режим, а в рабочей системе дополнительно проверяйте журналы отказов доступа после развёртывания. Настройка прав здесь не заканчивается: обновление приложения, смена каталога или пользователя процесса могут изменить нужную схему доступа.