[Technik] Shared IMAP Folders für Verteiler-Adressen (Detaillierte Rechtevergabe)

[Patrick Günther]

Hier noch ein paar Zeilen aus dem bisherigen Thread auf support@:


Virtual shared folders scheinen als guter Weg, haben aber auch 
Nachteile. Die Berechtigungen werden per ACL vergeben, wozu Michael 
Hönnig anmerkt:

 > ACL nutzen wir nicht und Sonderregeln würde ich auch stark
 > widersprechen, denn mit ACL reissen sich die meisten sowieso schon
 > Sicherheitslücken rein, weil die Rechte so komplex werden, dass sie
 > keiner mehr versteht.

Außerdem hat er aber auch ein paar Ideen für Lösungsansätze:

 > - ein eigenes (SW) Paket für jeden Shared-IMAP Folder, in dem nur
 > User sind, die sich diesen teilen sollen
 >
 > - eine Rechte-Schleuse unter Zuhilfename der Gruppe "adm" (das mit
 > der Gruppe adm ist aber deutlich unschön! und es geht nur für maximal
 >  2 User, einer davon Pac-Admin)
 >
 > Ein Beispiel für eine Rechte-Schleuse sind die Domain-Admin
 > Homeverzeichnisse in Kombination mit dem doms Verzeichnis, dort wird
 > mit diesem Trick der User httpd reingelassen.


Wenn bei automatisch von einem Robot aus einfacheren Configs der 
Paket/Domainadmins erstellte ACL die o.g. Nachteile wegfallen würden, 
hätte ich folgende Idee:

Eine optioniale Konfigurationsdatei, die der DomainAdmin im etc/ der 
Domain anlegen kann. Die müßte dann im Format
-----------
xyz00-FolderName1    yxz00-user1 yxz00-user2 yxz00-user3 yxz00-user4
xyz00-FolderName1    yxz00-user3 yxz00-user4 yxz00-user6 yxz00-user7
-----------
oder so ähnlich sein und von einem Robot geparsed und in die nötigen 
systemweiten Configs eingetragen werden. Folder müßten mit dem Paket 
anfangen, User nicht unbedingt.

Wahrscheinlich müßte es aber noch etwas komplexer werden, wenn Leute 
unterschiedlichen Usern unterschiedliche Rechte (Lesen, Schreiben, 
whatever) geben wollen. Die Frage ist, ob man dann schon wieder so nah 
an ACLs wäre, daß die von Dir oben angedeuteten Probleme mit dem "sich 
Sicherheitslöcher reißen" riskiert würden.

mfg

Patrick