Proxyexec, CageFS içindeki kullanıcının belirli komutları CageFS dışında çalıştırabilmesini sağlar. Bu güçlü bir araçtır; yanlış kullanılırsa kullanıcıya istemeden fazla sistem görünürlüğü veya root yetkisi taşıyan bir işlem yolu açabilir.
Dokümanda proxyexec için wrapper, parametre filtreleme ve custom.proxy.commands örnekleri anlatılır. Üretimde asıl kural basittir: yalnızca denetlenmiş, dar parametreli ve loglanan komutlara izin verilmelidir.
- Dışarıda çalışacak scriptin pathi CageFS içine mount edilmemelidir.
- PROXYEXEC_UID ve PROXYEXEC_GID değişkenleriyle işlemi kimin tetiklediği kaydedilebilir.
- Wrapper ile parametre kontrolü yapılmadan root yetkili script açılmamalıdır.
- custom.proxy.commands: Proxyexec komut eşlemesini tutar.
- PROXYEXEC_UID: Komutu çağıran kullanıcının UID bilgisidir.
- filters: Tehlikeli seçenekleri engellemek için kullanılabilir.
Proxyexec ihtiyacı doğduğunda önce “bu iş panel API ile çözülebilir mi” sorusunu sorun. Dosya okumak, domain bilgisi göstermek veya sınırlı durum raporu üretmek için root yetkili script açmak son seçenek olmalıdır.
- Root ile çalışan wrapper parametre kontrolsüz bırakılmamalıdır.
- Kullanıcıya hassas dosya pathi geçirme imkanı verilmemelidir.
- Her proxyexec değişikliği log ve test kullanıcısıyla doğrulanmalıdır.
Dokümanda proxyexec için wrapper, parametre filtreleme ve custom.proxy.commands örnekleri anlatılır. Üretimde asıl kural basittir: yalnızca denetlenmiş, dar parametreli ve loglanan komutlara izin verilmelidir.
Operasyon Notu
- Dışarıda çalışacak scriptin pathi CageFS içine mount edilmemelidir.
- PROXYEXEC_UID ve PROXYEXEC_GID değişkenleriyle işlemi kimin tetiklediği kaydedilebilir.
- Wrapper ile parametre kontrolü yapılmadan root yetkili script açılmamalıdır.
Vurgulanacak Ayarlar
- custom.proxy.commands: Proxyexec komut eşlemesini tutar.
- PROXYEXEC_UID: Komutu çağıran kullanıcının UID bilgisidir.
- filters: Tehlikeli seçenekleri engellemek için kullanılabilir.
Komut ve Kontrol
cagefsctl --force-update
su - testuser -c '/path/to/allowed-command'Saha Uygulaması
Proxyexec ihtiyacı doğduğunda önce “bu iş panel API ile çözülebilir mi” sorusunu sorun. Dosya okumak, domain bilgisi göstermek veya sınırlı durum raporu üretmek için root yetkili script açmak son seçenek olmalıdır.
Riskli Noktalar
- Root ile çalışan wrapper parametre kontrolsüz bırakılmamalıdır.
- Kullanıcıya hassas dosya pathi geçirme imkanı verilmemelidir.
- Her proxyexec değişikliği log ve test kullanıcısıyla doğrulanmalıdır.