Защитить файлы от случайного удаления рутом

от случайного удаления или перезаписи от имени root?

cat /root/.bashrc
...
alias rm=rmw

Не защищает от случайной перезаписи, случайного повреждения и т.д.

Если честно, я сомневаюсь, что простое решение существует.

Копия в другом месте.

Не защищает от случайной перезаписи, случайного повреждения и т.д.

squashfs+aufs

Имутейбл атрибут поставь, там chattr +i или вроде того.

Запрещает перезапись для владельца тоже.

Ну тогда acl. Pam же ты не хочешь?

На самом деле я уже получил ответ, что простыми стандартными средствами, основанными на атрибутах, это не реализуемо.

Далее самым простым методом мне видится

chattr -i # перед записью
chattr +i # после записи

Acl это простые стандартные аттрибуты. Pam тоже простой и стандартный. Но вообще рута ограничивать смысла особого нет, он исправит как ему надо и случайно испортит файлы.

chattr +i

LSM (MAC, e. g. SELinux)

кастомная fuse, там можно делать всё что угодно

Я уже думал о монтировании другой ФС, но это явный перебор для моей задачи. Проще забить.

DAC тебе не поможет по определению, потому что root (EUID == 0) из него по определению исключён.

Если тебя не устраивает chattr +i и не устраивает оверлейная ФС с нужными свойствами, то остался ровно один способ это сделать, и это LSM.

Рут всегда может yes > /dev/sda или ещё какую-то дичь. Вспомите myspace, хех. У меня раздел ежедневных бекапов смонтирован в ro, немного спокойнее, но оффсайт-бекап ещё лучше.

Это и есть оффсайт-бекап.

В общем, я осознал изначальную бессмысленность этой затеи. Действительно, проще для повышения отказоустойчивости просто скопировать данные ещё в одно место.

Делать бекапы уже предложили?

Где вы такие умники берётесь только? У меня бекапов больше, чем средний посетитель ЛОРа за всю жизнь делает.

В сообщении выше написано, что это и есть бекап на удаленной машине.