برای محدودکردن سرویس Ollama در لینوکس، حساب اجرا و مسیرهایی را که می‌تواند بخواند یا تغییر دهد مشخص کنید. موضوع این راهنما مجوز فایل و محیط فرایند است؛ انتشار پورت و دسترسی شبکه در راهنمای جدا بررسی می‌شوند. فهرست پوشه‌ها باید از نیاز سرویس استخراج شود، نه از راحتی دادن دسترسی به کل سیستم.
نقشه دسترسی بسازید
نام حسابی را که فرایند واقعاً با آن اجرا می‌شود ثبت کنید. سپس مسیر فایل اجرایی، وزن مدل، داده کاری، گزارش و فایل موقت را جدا بنویسید. برای هر مسیر مشخص کنید سرویس به خواندن، نوشتن یا هیچ‌کدام نیاز دارد. کلید شخصی، پرونده کاربران و نسخه پشتیبان نامرتبط نباید صرفاً به‌خاطر محل نصب در دسترس سرویس باشند. روش نصب رسمی را با واحد واقعی systemd تطبیق دهید.
تنظیم حفاظتی را بدون آزمون کپی نکنید
در systemd گزینه‌هایی مانند ProtectSystem و ProtectHome می‌توانند دسترسی فرایند را محدود کنند، اما اثر آن‌ها به نسخه، محیط و پشتیبانی قابلیت‌های سیستم وابسته است. سخت‌گیری ناسازگار ممکن است بارگذاری مدل، کش یا گزارش‌نویسی را متوقف کند. بنابراین این متن فایل آماده برای نصب روی سرور عملیاتی نمی‌دهد. در محیط مجاز آزمایش، ابتدا دسترسی لازم را ثبت و سپس هر تغییر را جدا بررسی کنید.
نمونه آموزشی دسترسی مثبت و منفی
فرض کنید وزن‌ها در مسیر مدل هستند و خروجی موقت در مسیر کاری جدا ذخیره می‌شود. شرط پذیرش این است که سرویس بتواند نمونه مدل را بخواند و خروجی آزمون را بنویسد، اما نتواند فایل ساختگی خصوصی در پوشه حساب دیگری را بخواند. این نمونه، آزمون واقعی سرور نیست. قبل از تغییر، مالک و مجوز قبلی مسیرها ثبت می‌شود تا در صورت اختلال، فقط همان تغییر قابل برگشت باشد.
پس از تغییر چه چیزی بررسی شود؟
بارگذاری، یک درخواست غیرحساس و ثبت گزارش مجاز را تکرار کنید. آزمون منفی را با فایل ساختگی تحت اختیار خودتان انجام دهید؛ برای اثبات محدودیت، پرونده خصوصی فرد دیگری را باز نکنید. پیام خطا باید بدون داده حساس ذخیره شود. اگر محدودیت به دلیل محیط کانتینر اعمال نشده، نتیجه را «اعمال نشد» بنویسید و از موفق‌بودن راه‌اندازی سرویس، حفاظت کامل نتیجه نگیرید.
| مسیر یا حساب | نیاز مجاز | آزمون مثبت | آزمون منفی یا محدودیت | نتیجه واقعی | مسئول |
|---|---|---|---|---|---|
| حساب اجرا | حساب سرویس مشخص | هویت فرایند با تنظیم واحد منطبق باشد | اجرا با حساب دارای دسترسی نامرتبط نباشد | ||
| وزن مدل | خواندن فایل لازم | مدل آزمایشی بارگذاری شود | نوشتن بی‌نیاز روی وزن‌ها مجاز نشود | ||
| مسیر کاری | نوشتن خروجی موقت لازم | فایل آزمون ایجاد شود | مسیرهای نامرتبط قابل نوشتن نباشند | ||
| پوشه خصوصی ساختگی | بدون دسترسی | سرویس بدون نیاز به آن کار کند | خواندن نمونه خصوصی مجاز نباشد |
کاربرگ این تمرین
در کاربرگ مجوز سرویس، مسیر یا حساب، نیاز مجاز، آزمون مثبت و آزمون منفی یا محدودیت را می‌بینید. نتیجه واقعی و مسئول را پس از بررسی محیط آزمایش پر کنید؛ جدول، پیکربندی اجراشده نیست.
محدودیت
این فهرست ارزیابی کامل امنیت نیست و تنظیمات حفاظتی را برای هر توزیع یا کانتینر تضمین نمی‌کند. تغییر مجوز روی سرویس عملیاتی به برنامه بازگشت و اختیار مسئول نیاز دارد.
برای پروژه پاسخ‌گویی، ابتدا هدف و حدود اتصال را در آموزش‌های اپرا مرور کنید و سپس دموی اپرا را ببینید. این متن ادعای ارائه زیرساخت مدل محلی از طرف اپرا ندارد.