非 root 用户对邮件日志的 Grep 访问

Question

我想授予特定（常规）用户grep访问我的邮件日志 ( /var/log/maillog*) 的权限。

我不准备更改日志权限，因为它们应该保留为root-only，所以我认为首选的解决方案是通过sudoers.

另外：我想授予尽可能少的其他权限，理想情况下，用户只能访问邮件日志（和旋转的文件）。

例如：

username ALL= NOPASSWD: /bin/grep 

允许该用户基本上grep访问系统上的任何文件，这是我想避免的。

这里最好的解决方案是什么？
仅供参考：它本身不需要grep：用户只需要对邮件日志的读取访问权限，并且可能仅用于grep访问它们。

Answer 1

您可以在文件上使用 acl 向用户授予读取权限

setfacl -m user:grepuser:r /var/log/maillog*

这是允许用户使用他们想要的任何工具的优势。

这对于 maillog* 也是 logrotate 安全的