Konsol bir ayrıcalıktır: neden ayrı bir yetki ister

Konsol bir ekran gibi görünüyor. Açıyorsunuz, bir pencere çıkıyor, içinde yazı akıyor. "Sadece bakıyorum" hissi veriyor.

Oysa konsol bir kabuktur. Ve sunucunun kabuğu, o makinede var olan en yüksek yetkidir.

İki ayrı güç

Ayar değiştirmek. Arayüzün size izin verdiği şeyleri yapabilirsiniz. Sınırlar bellidir, çünkü sınırları arayüz çizer.

Kabuk açmak. Her şeyi yapabilirsiniz. Arayüzün reddedeceği şeyleri de, arayüzün hiç bilmediği şeyleri de.

Bu iki güç birbirini kapsamaz. Birine sahip olmak diğerini gerektirmez, ve daha önemlisi: birini vermek diğerini vermek anlamına gelmemelidir.

Ayrım gerçek, ve yerleşik rollerde görünüyor

Proxmox konsolu kendi ayrı iznine bağlıyor, genel "değiştirebilir" iznine değil. Bunun gerçek olduğunu yerleşik rollerde görebilirsiniz: sistem yöneticisi rolü denetim, konsol ve günlük izinlerini taşır ve içinde değiştirme izni yoktur.

Yani birine konsol açma hakkı verip ayar değiştirme hakkı vermemek meşru bir kurulumdur. Tersi de öyle.

Bunu önemli kılan yaygın durum

Proxmox özel rol yaratmaya izin veriyor ve şöyle bir rol çok yaygın: ağ ayarlarını değiştirebilen ama sunucunun kabuğuna erişmemesi gereken bir operatör.

Bu makul bir istek. Ağ yapılandırmasını düzenlemek ile sunucuda istediği komutu çalıştırmak aynı şey değil.

Ama bir ürün "değiştirebiliyorsa konsolu da açabilir" diye düşünürse, o operatöre farkında olmadan kök kabuk vermiş olur. Proxmox'ta alamayacağı bir şeyi, panel üzerinden alır.

Buradan çıkan genel ilke

Bir yetki modeli, platformun kendi tanımını kopyalamalıdır, yorumlamamalı.

"Aşağı yukarı aynı şey" diyen bir kapı, sıradan kurulumlarda doğru çalışır ve kimse fark etmez. Alışılmadık bir rol yaratıldığı gün açık oluşur. Ve o gün geldiğinde kimse yıllar önce yazılmış bir yaklaşıklığı hatırlamaz.

Aynı çıta dosya erişimi için de geçerli

Bir ayrıntı daha, çünkü sık gözden kaçıyor: sunucunun dosya sistemine erişim, okuma bile olsa kabuğa eşdeğerdir.

Sebebi basit: o dosya sisteminde parola dosyaları, anahtarlar ve küme gizlileri duruyor. Salt okuma yetkisi olan biri, dosyaları okuyabiliyorsa zaten her şeyi öğrenebilir.

Dolayısıyla dosya erişimi "bakma" yetkisiyle verilemez; kabukla aynı çıtayı ister.

Atlas ne yapıyor

Atlas'ta konsol, uzak kabuk ve dosya erişimi yalnız konsol iznine bağlı. Değiştirme izni tek başına bu yüzeyleri açmıyor.

Bu her zaman böyle değildi ve maddeyi dürüst bitirmek gerekiyor: eskiden bu yüzeyler değiştirme iznini de kabul ediyordu. Koddaki yorum doğru şeyi söylüyordu, "karşılığı konsol iznidir" yazıyordu, ama kod başka bir şey yapıyordu.

Bu, Proxmox'un kendi tanımı ölçülerek bulundu ve düzeltildi. Ölçümün sonucu netti: Proxmox kabuğu yalnız konsol iznine bağlıyor, değiştirme iznini kabul etmiyor.

Gerçek ağırlığı da olduğu gibi söylemek gerekir: yerleşik rollerle sömürülebilir değildi, çünkü değiştirme izni içeren tek yerleşik rolde konsol izni de var. Risk özel rollerdeydi, yani yukarıda anlatılan ağ operatörü örneğinde.

Buradan çıkan ders ürünün kendisi için de geçerli: bir yorumun doğru olması, kodun doğru olduğu anlamına gelmiyor. İkisi ayrı ayrı ölçülmeli.