systemd ဝန်ဆောင်မှုက ပရောက်စီကို ရောက်ပေမဲ့ CA ဖိုင်ကို မဖတ်နိုင်

ခွင့်ပြုထားတဲ့ CA အစုအဝေးကို ထည့်ပြီး တောင်းဆိုမှုက terminal မှာ အလုပ်လုပ်ပါတယ်။ ဝန်ဆောင်မှုက ဆာတီဖီကိတ်တင်တဲ့အမှား ပြနေဆဲပါ။ ပရောက်စီ IP မပြောင်းခင် အဲဒီ process က တူညီတဲ့ဖိုင်ကို ဖွင့်နိုင်လား စစ်ပါ။

ဝန်ဆောင်မှုက တခြား Unix user နဲ့ လုပ်ဆောင်နိုင်တယ်၊ တခြား directory မှာ စနိုင်တယ်၊ ဒါမှမဟုတ် ကန့်သတ်ထားတဲ့ filesystem ကို မြင်နိုင်တယ်။ သင့် login အတွက် မှန်တဲ့လမ်းကြောင်းက အဲဒီအတွက် အလိုလို မှန်တာမဟုတ်ပါ။

Absolute path ကနေ စစ်ပါ

တကယ်သုံးတဲ့ client မှာ သတ်မှတ်ထားတဲ့ path ကို စစ်ပါ။ ဥပမာ curl ရဲ့ --cacert က ဦးတည်ရာ CA အစုအဝေးကို ရွေးပြီး HTTPS ပရောက်စီမှာ သီးခြား ပရောက်စီ CA ရွေးချယ်စရာတွေ ရှိပါတယ်။ တခြား client တွေက ၎င်းတို့ကိုယ်ပိုင် ကွန်ဖစ် key ဒါမှမဟုတ် environment variable သုံးပါတယ်။

ဖိုင်နဲ့ ၎င်းဆီသွားရာ directory တွေကိုပါ စစ်ပါ။

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

ဒါတွေက အမှားရှာဖို့ ဥပမာတွေဖြစ်ပြီး ဖိုင်ကို လူတိုင်းရေးနိုင်အောင်လုပ်ဖို့ ညွှန်ကြားချက် မဟုတ်ပါ။ Directory ကို ဖြတ်သွားခွင့်က နောက်ဆုံးဖိုင်ကို ဖတ်ခွင့်လိုပဲ အရေးကြီးပါတယ်။

ခွင့်ပြုချက်တင်က ပြဿနာအားလုံး မဟုတ်နိုင်ပါ

ProtectHome=yes နဲ့ systemd က ပုံမှန် home directory နေရာတွေကို ဝန်ဆောင်မှုကနေ မရနိုင်အောင် လုပ်ပါတယ်။ ဆာတီဖီကိတ်ဖိုင် mode ပြောင်းတာက namespace ကန့်သတ်ချက်ကို မဖယ်ပါ။ သတ်မှတ်ထားတဲ့ root directory ကလည်း ဝန်ဆောင်မှုထဲမှာ absolute path က ဘာကိုညွှန်းလဲဆိုတာ ပြောင်းနိုင်ပါတယ်။

အက်ပ်အတွက် /etc အောက်က directory လို သင့်တော်တဲ့ ဝန်ဆောင်မှုကွန်ဖစ်နေရာကို သုံးပြီး လိုအပ်တဲ့ဖတ်ခွင့်ပဲ ပေးပါ။ client ရဲ့ CA path ကို အဲဒီကို ပြောင်းပါ။ ပထမမိတ္တူက ကိုယ်ပိုင် home directory ထဲမှာရှိလို့ မဆိုင်တဲ့ filesystem ကန့်သတ်ချက်တွေ မဖယ်ပါနဲ့။

ပထမအသုံးဝင်တဲ့ အမှားကို ဖတ်ပါ

«CA ဖိုင် မတင်နိုင်» နဲ့ «ဆာတီဖီကိတ်ကွင်းဆက် မယုံကြည်ရ» က မတူတဲ့အမှားတွေပါ။ ပထမတစ်ခုက client ဘာမှမစစ်ရသေးခင် ဖြစ်နိုင်ပါတယ်။ ဒုတိယက ဖတ်နိုင်တဲ့အစုအဝေးထဲမှာ အာဏာပိုင်မှားနေတယ် ဒါမှမဟုတ် TLS ချိတ်ဆက်မှုမှားမှာ သုံးနေတယ်ဆိုတာ ဖြစ်နိုင်ပါတယ်။

ဖတ်ခွင့်ပြင်ပြီးရင် ဝန်ဆောင်မှုရဲ့ context ကနေ ပြန်စမ်းပါ။ terminal command အောင်မြင်တာက အသုံးဝင်တဲ့နှိုင်းယှဉ်မှု ဖြစ်နေသေးပေမဲ့ ဝန်ဆောင်မှု ဘယ်ဖိုင်တွေမြင်လဲ၊ client က ဘယ်ယုံကြည်မှုသတ်မှတ်ချက်သုံးလဲဆိုတာ မသက်သေပြနိုင်ပါ။