linux - 如何在Linux中运行命令限制特定目录中的文件访问？

Question

我想要做的是处理一些涉及脚本或程序的批处理作业，这些作业可能会意外地执行破坏性操作(例如在“/”目录上进行递归删除)。脚本和程序是由业余爱好者编写的，他们很可能会做出愚蠢的事情。

为了防止我的操作系统被破坏，我想限制每个作业对某个目录的文件访问权限。我不希望作业脚本或可执行文件能够写入或删除其指定目录之外的任何内容(包括为其他作业分配的目录，我不希望任何作业干扰其他作业的结果)。

目前我想到了两个计划:

一种是在执行作业时使用chroot。但是当使用 chroot 时，我将无法访问 bash 实用程序或其他已安装的程序，例如 ffmpeg。这对于我的脚本作业来说是 Not Acceptable 。

另一种是为每个作业创建一个用户，并以某个用户身份运行作业。但这样一来，我就必须创建数千个用户；清理起来会很头疼。

我非常喜欢第二种想法，但我正在寻找一种方法来避免创建这么多用户并随后删除这些用户。

Answer 1

将您需要的所有工具放入一个目录中，然后 chroot 到该目录中？

第二个选项也不错。您不必创建许多用户。只需一两个脚本即可运行所有脚本。

第三种可能是最好的方法是生成一个虚拟机，然后通过 ssh 进入其中并运行脚本。如果虚拟机被破坏，您可以随时启动另一台虚拟机。