CentOS Cobbler權限設置指南

一、基礎權限管理：Linux系統層配置

Cobbler作為運行在CentOS上的服務，其權限管理需結合Linux系統原生工具實現，核心圍繞用戶-組-文件權限三者展開。

1. 用戶與用戶組管理

• 創建用戶：使用useradd命令創建專用用戶（如cobbler-admin），避免直接使用root操作：
  sudo useradd -m -s /bin/bash cobbler-admin（-m創建家目錄，-s指定shell）。
• 設置密碼：通過passwd命令為用戶設置強密碼：
  sudo passwd cobbler-admin。
• 添加用戶到組：將用戶加入cobbler組（Cobbler默認用戶組），便于管理相關資源：
  sudo usermod -aG cobbler cobbler-admin（-aG表示追加組，避免移除原有組）。

2. 文件與目錄權限設置

• 關鍵配置文件權限：Cobbler主配置文件/etc/cobbler/settings需限制為root可讀寫、其他用戶只讀，防止未授權修改：
  sudo chmod 644 /etc/cobbler/settings；
  所有權需歸屬root：sudo chown root:root /etc/cobbler/settings。
• Cobbler服務文件權限：若修改服務腳本（如/etc/systemd/system/cobblerd.service），需確保root擁有所有權：
  sudo chown root:root /etc/systemd/system/cobblerd.service；
  權限設置為644（sudo chmod 644 /etc/systemd/system/cobblerd.service）。
• 用戶目錄權限：為用戶家目錄設置嚴格權限（如cobbler-admin的家目錄），僅所有者可訪問：
  sudo chmod 700 /home/cobbler-admin；
  所有權歸屬用戶自身：sudo chown cobbler-admin:cobbler /home/cobbler-admin。

二、Cobbler專用權限配置

Cobbler通過Digest認證管理Web界面及API訪問權限，需通過htdigest工具配置。

1. 創建Cobbler用戶憑證

• Cobbler用戶憑證存儲于/etc/cobbler/users.digest，使用htdigest創建（需指定領域Cobbler）：
  sudo htdigest -c /etc/cobbler/users.digest "Cobbler" username（username為自定義用戶名）。
• 執行后會提示輸入密碼，生成的憑證將保存至users.digest文件。

2. 同步配置生效

• 每次修改用戶憑證或權限配置后，需通過cobbler sync命令同步至Cobbler服務，確保變更生效：
  sudo cobbler sync。

三、服務運行權限優化

遵循最小權限原則，避免Cobbler服務以root身份運行，降低潛在安全風險。

1. 修改Cobbler服務用戶

• 編輯Cobbler服務文件（/etc/systemd/system/cobblerd.service），在[Service]段添加以下內容：

  User=cobbler
  Group=cobbler
  

  這將使Cobbler服務以cobbler用戶（而非root）身份運行。

2. 重載服務配置

• 修改服務文件后，需重載systemd配置并重啟Cobbler服務：
  sudo systemctl daemon-reload；
  sudo systemctl restart cobblerd。

四、安全增強措施

權限設置需配合以下安全措施，進一步提升Cobbler安全性。

1. 關閉不必要的服務

• SELinux：若無需SELinux，可臨時關閉（setenforce 0）或永久關閉（修改/etc/selinux/config中SELINUX=disabled）；
• 防火墻：開放Cobbler必要端口（HTTP 80、HTTPS 443、PXE 69/UDP），限制其他端口訪問：
  sudo firewall-cmd --permanent --add-service=http --add-service=https --add-port=69/udp；
  sudo firewall-cmd --reload。

2. 定期更新與監控

• 更新組件：定期通過yum update更新Cobbler及依賴組件（如httpd、tftp-server），修復已知漏洞；
• 日志監控：啟用Cobbler日志（/var/log/cobbler/cobbler.log），定期審查訪問及操作記錄，及時發現異常行為。

注意事項

• 所有權限操作需以root用戶或具備sudo權限的用戶執行；
• 避免過度授權（如將用戶加入root組），遵循“最小權限”原則；
• Cobbler Web界面訪問需通過HTTPS加密，防止憑證泄露（可通過certbot申請免費SSL證書）。