доступы, группы/пользователи

Звучит взаимоисключающе, если например ssh_host* доступен только руту, то оно какбэ не спроста. Что толку от вашей «секьюрности» если юзвер сгребет shadow, ключи, &etc ?
А вообще вы в корне неправильно подходите с вопросу бэкапа.

Ну а как правильно? + Не юзер, а пользователь который делает бекапы. Логинизация по ключам проходит. Кругом запрет на логин от рута. Сервер бекапа недоступен из сети. По сути он скрыт от всех. Он иногда «просыпается» и рандомно со списка дергает сервера что бы сделать бекап. Бекап делается rsync`ом с ключами au для уменшения нагрузки и ускорения бекапа. Мне дали ответ на офф форуме убунты. Добавить юзверя для бекапа в sudo и выполнять rsync с параметром --rsync-path=«sudo rsync». Не знаю насколько получиться, но скоро проверю.

+ Не юзер, а пользовател

Ой, всё.

кто сказал bareos ?

Он иногда «просыпается» и рандомно со списка дергает сервера что бы сделать бекап.
рандомно
бекап

Так вот ты какой «рандом бэкап»... У меня нет слов.

почему нет? что такого страшного я написал. да ппц. так просто с каждого сервера делается бекап каждый день в разное время. И что тут такого?

bareos если не ошибаюсь таже бакула. Печаль но надо свое(

почему нет? что такого страшного я написал. да ппц. так просто с каждого сервера делается бекап каждый день в разное время. И что тут такого?

Вот это пояснение уже понятно. А так, как написали ранее - так я и понял.

Вы не правы вообще к подходу. Попробую пояснить, например на удаленном серваке у вас крутиться субд в которую пишутся данные, при тупом копировании файлов вы получите битую копию, которая нах никому не нужна, тоже будет с любым файлом который в этот момент писался.

Если вас уж настолько прибило накостылить свое, и при этом не давать пользователю рут доступ к удаленным сервакам. Первое что приходит в голову создавайте локальные копии «рутовых» каталогов/файлов по крону, а потом их сгребайте.

согласен. но для БД то будут сниматся локально дампы которые скриптом будут как и файлы сдиратся. По поводу записи то да. Возможно будут битые. Но главное вытащить как можно больше конфигов. В конфиги то писаться ничего не будет. Просто решено сдирать полностью каталог из за того что неизвестно что понадобиться + папки etc должно быть достаточно для того чтобы быстро пересетапить какой то сервер или восстановить конфиги/полностью каталог. Относительно записи в файл то логи будут частично битыми хотя рсинк должен просто стащить файл с содержимым на момент начала считывания. И лог должен получиться не полным но читаемым.

А не легче ли сделать так. Собственно локально проверять файлы на изменение, каждый день копию нужного измененного файла бэкапить в директорию напимер dirname с нужными правами. Затем клиентский юзер, который имеет право на чтение и перезапись только этой директории будет выкачивать оттуда бэкапы. Тогда можно даже сделать проверку на стороне сервера, на целостность бэкапов и сделать фильтр проверок на клиентского пользователя. То есть его ip, port, username, group и там что еще может быть.

создать группу/пользователя с рут правами но только на чтение

man capabilities /READ. Говорят, с 2.4.6 работает setcap.

Так будет создаваться дополнительная нагрузка на серваки. Которые и так не хило нагружены + доп ХДД

ну, это да. Но я пока не вижу способов безопасно дать юзеру рут права.

мне на офф убунте отписали

------------ Тогда все таки настроить sudo на сервере, а на бакапе запускать rsync с параметром --rsync-path=«sudo rsync» ------------

я думаю стоит проверить. должно помочь.

Помог valrust

http://forum.ubuntu.ru/index.php?topic=282046.msg2221843#msg2221843