Как предотвратить сброс разрешений на конфигурационные файлы в dpkg?

Вопрос или проблема

Извините, это очень необычный случай, и я не вижу, что с этим делать.

У меня есть пакет, в котором я отправляю файл конфигурации “шаблон”, который должен быть заполнен пользователем и иметь измененные разрешения. Я не могу автоматизировать настройку разрешений для файла, поэтому файл поставляется с неправильными разрешениями.

Как мне остановить dpkg от удаления списка контроля доступа, добавленного к файлу во время первоначальной конфигурации пользователем?

Я предпочел бы не отправлять файл в качестве шаблона и не добавлять еще один шаг для выполнения пользователем при настройке.

Содержимое файла сохранилось после обновления после изменения основного файла и повторного развертывания, как и ожидалось. Дополнительная запись контроля доступа, установленная с помощью setfacl, не сохранилась.

В control.tar.gz у меня есть conffiles, который перечисляет файл конфигурации. В data.tar.bz2 у меня файл конфигурации отправляется как принадлежащий root с битами разрешений 600.

Инструкции по настройке говорят “выберите или создайте пользователя” и выполните setfacl -m u:user:r файл конфигурации.

Отправьте шаблон в качестве файла в /usr/share или где-либо в /usr/lib.
в postinst, проверьте, существует ли файл конфигурации:
- выйдите с успехом, если он существует, пропуская создание файла конфигурации
- Если файл конфигурации не существует
  - создайте сервисного пользователя, если это необходимо и он ещё не существует
  - скопируйте шаблон в /etc (возможно, с помощью cat или sed) и одновременно замените как можно больше параметров, которые могут быть автоматически заполнены
  - установите разрешения насколько возможно, включая использование сервисного пользователя
перечислите вновь созданный файл конфигурации в conffiles

Ответ или решение

Для предотвращения изменения dpkg прав доступа на файлы конфигурации в Linux, важно понимать, как работает система управления пакетами dpkg и какие механизмы она использует для управления файлами конфигурации. Ваша задача — сохранить индивидуальные настройки пользователей, включая списки управления доступом (ACL), после обновления или перезаписи пакета. Давайте рассмотрим, как можно достичь этой цели, применяя теорию, примеры и приложение к вашему конкретному случаю.

Теория

Когда вы устанавливаете пакет в Debian-подобной системе с помощью dpkg, файлы конфигурации, перечисленные в файле conffiles, становятся объектом особого обращения. Обычно dpkg старается сохранить пользовательские изменения в этих файлах. Однако ACL, назначенные командой setfacl, могут быть потеряны, если права на файл не защищены должным образом. Это связано с тем, что dpkg в процессе обновления пакетов может сбросить права файла к оригинальным, заданным в пакете, игнорируя изменения, примененные пользователем.

Пример

Ваша ситуация связана с поставкой "шаблонного" конфигурационного файла с необходимостью его модификации пользователем. Проблема возникает, когда acl настраиваются пользователем, но сбрасываются при обновлении. Обычно практика предполагает, что шаблоны конфигурационных файлов размещаются в директориях вроде /usr/share или /usr/lib, чтобы избежать их непосредственного изменения dpkg при обновлениях. Настоящие файлы конфигурации создаются и модифицируются скриптами postinst или другими механизмами, защищающими их от изменений со стороны механизма обновления пакетов.

Приложение

Размещение шаблонного файла
Разместите ваш шаблон конфигурационного файла в директории, которая не будет изменяться dpkg при обновлениях пакета. Например, используйте /usr/share/myapp/config.template.
Использование postinst скрипта
В скрипте postinst вы можете прописать логику, которая будет проверять существование конфигурационного файла в /etc:
- Если файл уже существует, просто выходите из скрипта postinst с успешным статусом, ничего не меняя.
- Если файла не существует, скопируйте шаблон из /usr/share в нужную директорию /etc, заполнив все параметры, которые можно установить автоматически.
Установка ACL и прав доступа
В том же postinst скрипте, после копирования файла, используйте команду setfacl, чтобы назначить необходимые ACL. Пример команды:
```
setfacl -m u:user:r /etc/myapp/config.file
```
Убедитесь, что скрипт проверяет корректность установки ACL и логирует любые ошибки или успешные операции для отладки.
Обработка обновлений пакета
Обновляйте postinst таким образом, чтобы автоматически обрабатывать обновления без потерь пользовательских прав доступа. Это означает, что каждый раз при обновлении пакета скрипт должен заново применять нужные ACL и задавать права доступа.
Логирование и отладка
Добавьте ведение логов в скрипт postinst, чтобы иметь возможность отслеживать состояние копируемых файлов и применяемых прав доступа. Это позволит быстрее находить и исправлять ошибки.

Таким образом, вы можете предотвратить сброс прав доступа к файлам конфигурации, обеспечив их надежное применение и обновление вне механизма dpkg, что позволит пользователям сохранять свои настройки даже после обновления пакета. Поддержка консистентности в конфигурациях и прав доступа — ключ к успешной интеграции таких специфичных требований в существующую систему управления пакетами.