Modern a\u011f ortamlar\u0131nda yazd\u0131rma hizmetleri, g\u00fcnl\u00fck i\u015f ak\u0131\u015f\u0131n\u0131n vazge\u00e7ilmez bir par\u00e7as\u0131d\u0131r. Ancak bu hizmetleri sa\u011flayan sistemler, do\u011fru \u015fekilde yap\u0131land\u0131r\u0131lmazsa \u00f6nemli g\u00fcvenlik riskleri ta\u015f\u0131yabilir. Bu makalede, a\u00e7\u0131k kaynak yazd\u0131rma sunucusu CUPS (Common Unix Printing System) g\u00fcvenli\u011fini, \u00f6zellikle de rol tabanl\u0131 eri\u015fim kontrol\u00fc (RBAC) prensipleriyle nas\u0131l art\u0131rabilece\u011fimizi ad\u0131m ad\u0131m inceleyece\u011fiz. Gelin, yazd\u0131rma altyap\u0131n\u0131z\u0131 hem g\u00fcvenli hem de verimli hale getirelim.<\/p>\n
CUPS, Linux ve Unix benzeri i\u015fletim sistemlerinde yazd\u0131rma hizmetlerini y\u00f6netmek i\u00e7in kullan\u0131lan standart bir a\u00e7\u0131k kaynak yaz\u0131l\u0131m\u0131d\u0131r. HP taraf\u0131ndan geli\u015ftirilen ve g\u00fcn\u00fcm\u00fczde OpenPrinting projesi kapsam\u0131nda s\u00fcrd\u00fcr\u00fclen CUPS, bilgisayar\u0131n\u0131z ile yaz\u0131c\u0131lar aras\u0131nda bir k\u00f6pr\u00fc g\u00f6revi g\u00f6r\u00fcr. Belgeleri i\u015fler, yazd\u0131rma kuyruklar\u0131n\u0131 y\u00f6netir ve a\u011f \u00fczerindeki yaz\u0131c\u0131lara eri\u015fimi kolayla\u015ft\u0131r\u0131r. Bir\u00e7ok kurulu\u015fta, CUPS sunucular\u0131 onlarca, hatta y\u00fczlerce kullan\u0131c\u0131n\u0131n ve yaz\u0131c\u0131n\u0131n ihtiya\u00e7lar\u0131n\u0131 kar\u015f\u0131lar, bu da onu kritik bir altyap\u0131 bile\u015feni haline getirir. Ancak, bu merkezi rol beraberinde ciddi g\u00fcvenlik sorumluluklar\u0131n\u0131 da getirir. Peki, yazd\u0131rma altyap\u0131s\u0131n\u0131n g\u00fcvenli\u011fi neden bu kadar \u00f6nemlidir?<\/p>\n
Birincisi, yazd\u0131rma sunucular\u0131 genellikle hassas verilerin ge\u00e7ti\u011fi noktalard\u0131r. Faturalar, finansal tablolar, m\u00fc\u015fteri bilgileri veya gizli kurumsal belgeler, yazd\u0131rma kuyruklar\u0131nda k\u0131sa s\u00fcreli de olsa bekler. Yetkisiz eri\u015fim durumunda, bu veriler k\u00f6t\u00fc niyetli ki\u015filerin eline ge\u00e7ebilir. Bu durum, veri ihlallerine, gizlilik ihlallerine ve ciddi itibar kay\u0131plar\u0131na yol a\u00e7abilir. \u0130kincisi, yazd\u0131rma sunucular\u0131, a\u011f \u00fczerinde genellikle y\u00fcksek ayr\u0131cal\u0131klarla \u00e7al\u0131\u015fan servislerdir. Bir sald\u0131rgan, CUPS sunucusundaki bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131 kullanarak sisteme s\u0131zabilir, bu da t\u00fcm a\u011f altyap\u0131s\u0131n\u0131 tehlikeye atabilir. Hizmet reddi (DoS) sald\u0131r\u0131lar\u0131 da bir di\u011fer risktir; k\u00f6t\u00fc ama\u00e7l\u0131 bir kullan\u0131c\u0131, yazd\u0131rma kuyruklar\u0131n\u0131 t\u0131kamak veya sunucuyu a\u015f\u0131r\u0131 y\u00fcklemek suretiyle me\u015fru kullan\u0131c\u0131lar\u0131n yazd\u0131rma hizmetlerini kullanmas\u0131n\u0131 engelleyebilir.<\/p>\n
\u00dc\u00e7\u00fcnc\u00fcs\u00fc, yanl\u0131\u015f yap\u0131land\u0131r\u0131lm\u0131\u015f bir CUPS sunucusu, a\u011fdaki di\u011fer cihazlara (\u00f6rne\u011fin, yaz\u0131c\u0131n\u0131n kendisi) y\u00f6nelik sald\u0131r\u0131lar i\u00e7in bir basamak g\u00f6revi g\u00f6rebilir. Eski yaz\u0131l\u0131m s\u00fcr\u00fcmleri, zay\u0131f kimlik do\u011frulama y\u00f6ntemleri veya a\u00e7\u0131k b\u0131rak\u0131lan gereksiz portlar, potansiyel g\u00fcvenlik a\u00e7\u0131klar\u0131 yarat\u0131r. Bu nedenle, CUPS’\u0131n sadece \u00e7al\u0131\u015f\u0131r durumda olmas\u0131n\u0131 sa\u011flamak yeterli de\u011fildir; ayn\u0131 zamanda en y\u00fcksek g\u00fcvenlik standartlar\u0131nda yap\u0131land\u0131r\u0131lmas\u0131 ve d\u00fczenli olarak denetlenmesi gerekmektedir. \u0130\u015fte tam da bu noktada, rol tabanl\u0131 eri\u015fim kontrol\u00fc (RBAC) devreye girerek, kimin neye ne kadar eri\u015febilece\u011fini net bir \u015fekilde tan\u0131mlamam\u0131za yard\u0131mc\u0131 olur ve yazd\u0131rma altyap\u0131m\u0131z\u0131n genel g\u00fcvenlik duru\u015funu \u00f6nemli \u00f6l\u00e7\u00fcde iyile\u015ftirir.<\/p>\n
Rol Tabanl\u0131 Eri\u015fim Kontrol\u00fc (RBAC), bilgi sistemlerinde yetkilendirme y\u00f6netimi i\u00e7in yayg\u0131n olarak kullan\u0131lan bir yakla\u015f\u0131md\u0131r. RBAC modelinde, do\u011frudan kullan\u0131c\u0131lara eri\u015fim izinleri atamak yerine, bu izinler “rollere” atan\u0131r. Kullan\u0131c\u0131lara ise bu roller atan\u0131r. \u00d6rne\u011fin, bir “Y\u00f6netici” rol\u00fc, sistemdeki t\u00fcm yaz\u0131c\u0131lar\u0131 ekleme, silme ve yap\u0131land\u0131rma yetkisine sahipken, “Normal Kullan\u0131c\u0131” rol\u00fc yaln\u0131zca kendi yazd\u0131rma i\u015flerini g\u00f6r\u00fcnt\u00fcleme, iptal etme ve yazd\u0131rma yetene\u011fine sahip olabilir. Bu model, y\u00f6netim karma\u015f\u0131kl\u0131\u011f\u0131n\u0131 azalt\u0131r, g\u00fcvenlik politikas\u0131n\u0131 uygulamay\u0131 kolayla\u015ft\u0131r\u0131r ve “en az ayr\u0131cal\u0131k” prensibini destekler.<\/p>\n
CUPS ba\u011flam\u0131nda RBAC, yazd\u0131rma hizmetlerine eri\u015fim ve y\u00f6netim yetkilerini hassas bir \u015fekilde tan\u0131mlamam\u0131za olanak tan\u0131r. CUPS, temelde birka\u00e7 \u00f6n tan\u0131ml\u0131 grup ve kullan\u0131c\u0131 yetkilendirme mekanizmas\u0131yla \u00e7al\u0131\u015f\u0131r. Bunlar aras\u0131nda en \u00f6nemlileri:<\/p>\n
lpadmin<\/code> ve lp<\/code> gibi sistem gruplar\u0131n\u0131 temel al\u0131r.<\/li>\n- Roller (veya Yetkiler):<\/strong> CUPS’ta do\u011frudan “rol” kavram\u0131 olmasa da, belirli eylemlere (yazd\u0131rma, yaz\u0131c\u0131 ekleme, i\u015f iptali vb.) izin veren veya bunlar\u0131 k\u0131s\u0131tlayan yap\u0131land\u0131rmalar arac\u0131l\u0131\u011f\u0131yla rol benzeri davran\u0131\u015flar olu\u015fturulur.<\/li>\n<\/ul>\n
Geleneksel eri\u015fim kontrol listeleri (ACL’ler) ile kar\u015f\u0131la\u015ft\u0131r\u0131ld\u0131\u011f\u0131nda, RBAC’\u0131n avantajlar\u0131 \u015funlard\u0131r: Bir kullan\u0131c\u0131 i\u015finden ayr\u0131ld\u0131\u011f\u0131nda veya yeni bir g\u00f6reve ge\u00e7ti\u011finde, sadece ona atanan rolleri de\u011fi\u015ftirmek yeterlidir, tek tek t\u00fcm izinlerini g\u00fcncellemeye gerek kalmaz. Bu, \u00f6zellikle b\u00fcy\u00fck kurulu\u015flarda ve s\u0131k personel de\u011fi\u015fimlerinin oldu\u011fu durumlarda y\u00f6netimi basitle\u015ftirir. Ayr\u0131ca, g\u00fcvenlik politikas\u0131n\u0131 daha tutarl\u0131 hale getirir, \u00e7\u00fcnk\u00fc yetkiler rollere ba\u011fl\u0131d\u0131r ve bu rollere kimlerin atanabilece\u011fi daha \u015feffaf bir \u015fekilde y\u00f6netilebilir. CUPS’ta bu gruplar\u0131 ve yetkilendirme mekanizmalar\u0131n\u0131 do\u011fru bir \u015fekilde yap\u0131land\u0131rarak, yazd\u0131rma sunucunuzun sadece yetkili ki\u015filerin eri\u015febilece\u011fi, de\u011fi\u015ftirebilece\u011fi veya y\u00f6netebilece\u011fi bir kaynak olmas\u0131n\u0131 sa\u011flayabiliriz.<\/p>\n
\u00d6rne\u011fin, bir IT y\u00f6neticisinin CUPS \u00fczerinde tam kontrol\u00fc olmas\u0131 gerekirken, muhasebe departman\u0131ndaki bir kullan\u0131c\u0131n\u0131n sadece kendi departman yaz\u0131c\u0131s\u0131na yazd\u0131rma yetkisi olmas\u0131 ve bir misafir kullan\u0131c\u0131n\u0131n ise hi\u00e7bir y\u00f6netim yetkisi olmadan sadece belirli bir misafir yaz\u0131c\u0131ya eri\u015febilmesi RBAC ile kolayca sa\u011flanabilir. CUPS’\u0131n temel kimlik do\u011frulama mod\u00fclleri ve cupsd.conf<\/code> dosyas\u0131ndaki Allow<\/code>, Deny<\/code>, AuthType<\/code> ve Require<\/code> gibi direktifler, bu rol tabanl\u0131 eri\u015fim kontrol\u00fcn\u00fc uygulamak i\u00e7in temel yap\u0131 ta\u015flar\u0131n\u0131 sunar. Bir sonraki b\u00f6l\u00fcmde, bu yap\u0131 ta\u015flar\u0131n\u0131 nas\u0131l kullanarak ger\u00e7ek d\u00fcnyada CUPS g\u00fcvenli\u011fini art\u0131raca\u011f\u0131m\u0131z\u0131 ad\u0131m ad\u0131m inceleyece\u011fiz.<\/p>\nCUPS RBAC Yap\u0131land\u0131rmas\u0131na Ad\u0131m Ad\u0131m Ba\u015flang\u0131\u00e7: Temel Eri\u015fim Kontrolleri Nas\u0131l Uygulan\u0131r?<\/h2>\n
CUPS’ta rol tabanl\u0131 eri\u015fim kontrol\u00fcn\u00fc uygulamak i\u00e7in ilk ad\u0131m, sistemdeki kullan\u0131c\u0131 ve grup yap\u0131s\u0131n\u0131 anlamak ve ard\u0131ndan CUPS’\u0131n ana yap\u0131land\u0131rma dosyas\u0131 olan cupsd.conf<\/code> \u00fczerinde gerekli de\u011fi\u015fiklikleri yapmakt\u0131r. Bu b\u00f6l\u00fcm, temel yazd\u0131rma ve y\u00f6netim yetkilerini nas\u0131l tan\u0131mlayaca\u011f\u0131n\u0131z\u0131 ad\u0131m ad\u0131m g\u00f6sterecek.<\/p>\nKimler Yazd\u0131rabilir? Temel Kullan\u0131c\u0131 Eri\u015fimini Y\u00f6netmek<\/h3>\n
Varsay\u0131lan olarak, bir\u00e7ok Linux da\u011f\u0131t\u0131m\u0131nda CUPS, t\u00fcm yerel kullan\u0131c\u0131lar\u0131n yazd\u0131rma i\u015fi g\u00f6ndermesine izin verir. Ancak, a\u011f yaz\u0131c\u0131lar\u0131 s\u00f6z konusu oldu\u011funda veya g\u00fcvenlik politikas\u0131 gere\u011fi sadece belirli kullan\u0131c\u0131lar\u0131n yazd\u0131rma yapabilmesi gerekti\u011finde, bu durumu k\u0131s\u0131tlamam\u0131z gerekir. CUPS, yazd\u0131rma i\u015flerini g\u00f6nderen kullan\u0131c\u0131lar\u0131 genellikle sistem kullan\u0131c\u0131lar\u0131 olarak kabul eder.<\/p>\n
\u00d6ncelikle, yazd\u0131rma yapabilecek kullan\u0131c\u0131lar\u0131 i\u00e7eren bir grup olu\u015fturmak isteyebilirsiniz. \u00d6rne\u011fin, “yazdirma_kullanicilari” ad\u0131nda bir grup olu\u015ftural\u0131m:<\/p>\n
\nsudo groupadd yazdirma_kullanicilari\nsudo usermod -aG yazdirma_kullanicilari kullanici1\nsudo usermod -aG yazdirma_kullanicilari kullanici2\n<\/pre>\n<\/code><\/p>\n
Yukar\u0131daki komutlar s\u0131ras\u0131yla yeni bir grup olu\u015fturur ve ard\u0131ndan \"kullanici1\" ile \"kullanici2\" adl\u0131 kullan\u0131c\u0131lar\u0131 bu gruba dahil eder. \u015eimdi cupsd.conf<\/code> dosyam\u0131z\u0131 d\u00fczenleyerek (genellikle \/etc\/cups\/cupsd.conf<\/code> konumunda bulunur) bu grubu yetkilendirelim. Bu dosyay\u0131 d\u00fczenlemeden \u00f6nce yedeklemek her zaman iyi bir uygulamad\u0131r:<\/p>\n\nsudo cp \/etc\/cups\/cupsd.conf \/etc\/cups\/cupsd.conf.bak\nsudo nano \/etc\/cups\/cupsd.conf\n<\/pre>\n<\/code><\/p>\n
cupsd.conf<\/code> i\u00e7inde, genellikle her yaz\u0131c\u0131 veya s\u0131n\u0131f i\u00e7in <\/code> veya genel yazd\u0131rma i\u015flemleri i\u00e7in <\/code> veya <\/code> bloklar\u0131 bulunur. Yazd\u0131rma i\u015flerini g\u00f6nderme yetkisini belirli bir grupla s\u0131n\u0131rlamak i\u00e7in a\u015fa\u011f\u0131daki gibi bir yap\u0131land\u0131rma ekleyebiliriz:<\/p>\n\n\n Order Deny,Allow\n Deny From All\n Allow From 127.0.0.1\n Allow From @LOCAL\n AuthType Basic\n Require group yazdirma_kullanicilari\n<\/Location>\n\n\n Order Deny,Allow\n Deny From All\n Allow From 127.0.0.1\n Allow From @LOCAL\n AuthType Basic\n Require group yazdirma_kullanicilari\n<\/Location>\n<\/pre>\n<\/code><\/p>\n
Bu yap\u0131land\u0131rma, CUPS web aray\u00fcz\u00fcne ve yazd\u0131rma i\u015flemlerine yaln\u0131zca yerel makineden ve yazdirma_kullanicilari<\/code> grubunun \u00fcyelerinin eri\u015fmesine izin verir. AuthType Basic<\/code>, CUPS'\u0131n temel kimlik do\u011frulamas\u0131n\u0131 kullanmas\u0131n\u0131 sa\u011flar; yani kullan\u0131c\u0131lar yazd\u0131rmak istediklerinde kimlik bilgileriyle giri\u015f yapmal\u0131d\u0131r. Require group<\/code> direktifi ise yetkilendirmenin yaln\u0131zca belirtilen grup \u00fcyeleri i\u00e7in ge\u00e7erli oldu\u011funu g\u00f6sterir. Bu ayarlar\u0131 kaydettikten sonra CUPS servisini yeniden ba\u015flatmay\u0131 unutmay\u0131n:<\/p>\n\nsudo systemctl restart cups\n<\/pre>\n<\/code><\/p>\n
Yaz\u0131c\u0131 Y\u00f6netim Yetkilerini Belirlemek: lpadmin<\/code> Grubu<\/h3>\nCUPS, yaz\u0131c\u0131lar\u0131 y\u00f6netme (ekleme, silme, yap\u0131land\u0131rma) yetkisini varsay\u0131lan olarak lpadmin<\/code> grubuna atar. Bu, CUPS'\u0131n yerle\u015fik bir rol\u00fcd\u00fcr diyebiliriz. Sadece yetkili ki\u015filerin yaz\u0131c\u0131 yap\u0131land\u0131rmalar\u0131n\u0131 de\u011fi\u015ftirmesini sa\u011flamak i\u00e7in, bu yetkiyi yaln\u0131zca belirli kullan\u0131c\u0131lara vermeliyiz. Genellikle, sistem y\u00f6neticisi veya a\u011f y\u00f6neticisi bu gruba dahil edilir.<\/p>\nlpadmin<\/code> grubuna bir kullan\u0131c\u0131 eklemek olduk\u00e7a basittir:<\/p>\n\nsudo usermod -aG lpadmin sysadmin_kullaniciadi\n<\/pre>\n<\/code><\/p>\n
sysadmin_kullaniciadi<\/code> adl\u0131 kullan\u0131c\u0131 art\u0131k lpadmin<\/code> grubunun bir \u00fcyesidir ve CUPS web aray\u00fcz\u00fc veya komut sat\u0131r\u0131 ara\u00e7lar\u0131 (lpadmin<\/code> komutu gibi) arac\u0131l\u0131\u011f\u0131yla yaz\u0131c\u0131lar\u0131 y\u00f6netebilir. cupsd.conf<\/code> dosyas\u0131nda, y\u00f6netici aray\u00fcz\u00fc i\u00e7in genellikle <\/code> blo\u011fu bulunur ve bu blok a\u015fa\u011f\u0131daki gibi yap\u0131land\u0131r\u0131l\u0131r:<\/p>\n\n\n Order Deny,Allow\n Deny From All\n Allow From 127.0.0.1\n Allow From @LOCAL\n AuthType Basic\n Require group lpadmin\n<\/Location>\n\n\n AuthType Basic\n Require group lpadmin\n Order Deny,Allow\n Deny From All\n Allow From 127.0.0.1\n<\/Location>\n<\/pre>\n<\/code><\/p>\n
Bu ayarlar, CUPS'\u0131n y\u00f6netim paneline ve yap\u0131land\u0131rma dosyalar\u0131na eri\u015fimi yaln\u0131zca lpadmin<\/code> grubunun \u00fcyelerine s\u0131n\u0131rlar. Bu sayede, yanl\u0131\u015fl\u0131kla veya k\u00f6t\u00fc niyetli m\u00fcdahalelerin \u00f6n\u00fcne ge\u00e7ilmi\u015f olur. CUPS servisinin her yap\u0131land\u0131rma de\u011fi\u015fikli\u011finden sonra yeniden ba\u015flat\u0131lmas\u0131 gerekti\u011fini unutmay\u0131n. Bu ad\u0131mlar, yazd\u0131rma sunucunuz i\u00e7in temel RBAC prensiplerini uygulaman\u0131za olanak tan\u0131r ve yetkisiz eri\u015fim riskini \u00f6nemli \u00f6l\u00e7\u00fcde azalt\u0131r.<\/p>\n\nVaka Analizi: K\u00fc\u00e7\u00fck Ofis Ortam\u0131nda Temel Eri\u015fim K\u0131s\u0131tlamalar\u0131<\/h3>\n
5 ki\u015filik bir k\u00fc\u00e7\u00fck ofiste, 3 \u00e7al\u0131\u015fan (Ali, Ay\u015fe, Can) yazd\u0131rma yetkisine sahipken, patron (Elif) hem yazd\u0131rma hem de yaz\u0131c\u0131 y\u00f6netimi yetkisine sahip olmal\u0131d\u0131r. Bir de misafir a\u011f\u0131 bulunmaktad\u0131r ve bu a\u011fdan yaln\u0131zca belirli bir \"misafir yaz\u0131c\u0131ya\" \u00e7\u0131kt\u0131 g\u00f6nderilebilmelidir.<\/p>\n
\n- Gruplar\u0131n Olu\u015fturulmas\u0131:<\/strong>\n
\nsudo groupadd ofis_calisanlari\nsudo groupadd ofis_yonetici\n <\/pre>\n<\/code>\n <\/li>\n
- Kullan\u0131c\u0131lar\u0131n Gruplara Eklenmesi:<\/strong>\n
\nsudo usermod -aG ofis_calisanlari ali\nsudo usermod -aG ofis_calisanlari ayse\nsudo usermod -aG ofis_calisanlari can\nsudo usermod -aG ofis_calisanlari elif\nsudo usermod -aG ofis_yonetici elif\n <\/pre>\n<\/code>
\n (Elif hem \u00e7al\u0131\u015fan hem de y\u00f6netici grubuna eklenir.)\n <\/li>\n
cupsd.conf<\/code> Yap\u0131land\u0131rmas\u0131:<\/strong>\n\n# Genel yazd\u0131rma eri\u015fimi\n\n Order Deny,Allow\n Deny From All\n Allow From 127.0.0.1\n Allow From @LOCAL\n AuthType Basic\n Require group ofis_calisanlari\n<\/Location>\n\n# Y\u00f6netim paneli eri\u015fimi\n\n Order Deny,Allow\n Deny From All\n Allow From 127.0.0.1\n Allow From @LOCAL\n AuthType Basic\n Require group ofis_yonetici\n<\/Location>\n\n# Misafir yaz\u0131c\u0131ya \u00f6zel eri\u015fim (misafir a\u011f\u0131 192.168.2.0\/24 oldu\u011funu varsayal\u0131m)\n\n Order Deny,Allow\n Deny From All\n Allow From 127.0.0.1\n Allow From @LOCAL\n Allow From 192.168.2.0\/24\n AuthType None\n # Misafirler i\u00e7in kimlik do\u011frulamas\u0131na gerek yok, sadece a\u011f eri\u015fimi yeterli\n<\/Location>\n <\/pre>\n<\/code>\n <\/li>\n<\/ol>\n
Bu sayede Ali, Ay\u015fe ve Can yazd\u0131rma yapabilirken, Elif ek olarak yaz\u0131c\u0131lar\u0131 y\u00f6netebilir. Misafir a\u011f\u0131ndaki herkes ise sadece misafir yaz\u0131c\u0131ya kimlik do\u011frulamas\u0131 olmadan \u00e7\u0131kt\u0131 g\u00f6nderebilir. Bu, RBAC'\u0131n k\u00fc\u00e7\u00fck bir ortamda bile ne kadar esnek ve g\u00fcvenli \u00e7\u00f6z\u00fcmler sunabildi\u011fini g\u00f6sterir.<\/p>\n<\/div>\n
Geli\u015fmi\u015f CUPS G\u00fcvenli\u011fi: SSL\/TLS ve \u00d6zel Yetkilendirme ile Savunman\u0131z\u0131 G\u00fc\u00e7lendirin<\/h2>\n
Temel RBAC yap\u0131land\u0131rmalar\u0131 \u00f6nemli bir g\u00fcvenlik katman\u0131 sa\u011flasa da, modern tehditlere kar\u015f\u0131 tam koruma i\u00e7in daha geli\u015fmi\u015f \u00f6nlemler almam\u0131z gerekir. Bu b\u00f6l\u00fcmde, CUPS ileti\u015fimini \u015fifrelemek i\u00e7in SSL\/TLS kullan\u0131m\u0131n\u0131 ve daha gran\u00fcler kontrol i\u00e7in \u00f6zel yetkilendirme mekanizmalar\u0131n\u0131 ele alaca\u011f\u0131z.<\/p>\n
A\u011f G\u00fcvenli\u011fini Sa\u011flama: HTTPS ve CUPS \u0130leti\u015fimi<\/h3>\n
CUPS sunucusu ile istemciler aras\u0131ndaki ileti\u015fimin \u015fifresiz olmas\u0131, man-in-the-middle (ortadaki adam) sald\u0131r\u0131lar\u0131na kar\u015f\u0131 savunmas\u0131z kalmas\u0131na neden olur. Yazd\u0131rma i\u015flerindeki hassas veriler, a\u011f \u00fczerinde kolayca ele ge\u00e7irilebilir. Bu riski ortadan kald\u0131rmak i\u00e7in CUPS'\u0131 HTTPS \u00fczerinden \u00e7al\u0131\u015facak \u015fekilde yap\u0131land\u0131rmal\u0131y\u0131z. Bu, ileti\u015fimdeki t\u00fcm verilerin \u015fifrelenmesini sa\u011flar.<\/p>\n
HTTPS'i etkinle\u015ftirmek i\u00e7in bir SSL\/TLS sertifikas\u0131na ihtiyac\u0131n\u0131z vard\u0131r. Bu sertifikay\u0131 bir sertifika yetkilisinden (CA) temin edebilir veya test\/dahili kullan\u0131m i\u00e7in kendinden imzal\u0131 bir sertifika olu\u015fturabilirsiniz. \u00dcretim ortamlar\u0131nda, Let's Encrypt gibi \u00fccretsiz CA'lardan veya ticari bir CA'dan al\u0131nan sertifikalar tercih edilmelidir.<\/p>\n
Kendinden imzal\u0131 bir sertifika olu\u015fturma \u00f6rne\u011fi:<\/p>\n
\nsudo apt install openssl # Debian\/Ubuntu i\u00e7in\nsudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout \/etc\/ssl\/private\/cups.key -out \/etc\/ssl\/certs\/cups.crt\n<\/pre>\n<\/code><\/p>\n
Bu komut, 365 g\u00fcn ge\u00e7erli, 2048 bit RSA anahtar\u0131na sahip bir sertifika ve \u00f6zel anahtar olu\u015fturur. Sertifika ve anahtar dosyalar\u0131n\u0131 uygun yerlere kaydettikten sonra, cupsd.conf<\/code> dosyas\u0131nda a\u015fa\u011f\u0131daki de\u011fi\u015fiklikleri yapmal\u0131s\u0131n\u0131z:<\/p>\n\n# SSL sertifika ve anahtar yollar\u0131n\u0131 belirtin\nServerCertificate \/etc\/ssl\/certs\/cups.crt\nServerKey \/etc\/ssl\/private\/cups.key\n\n# T\u00fcm ileti\u015fimi \u015fifrelemeyi zorla\nDefaultEncryption Required\n\n# E\u011fer sadece belirli ba\u011flant\u0131lar\u0131 \u015fifrelemek isterseniz (\u00f6nerilmez):\n# Port 631\n# Listen *:631\n# <\/code><\/p>\n
DefaultEncryption Required<\/code> direktifi, CUPS sunucusunun t\u00fcm ba\u011flant\u0131lar i\u00e7in \u015fifrelemeyi zorlamas\u0131n\u0131 sa\u011flar. Bu ayar\u0131 yapt\u0131ktan sonra, CUPS servisini yeniden ba\u015flat\u0131n ve CUPS web aray\u00fcz\u00fcne (genellikle https:\/\/localhost:631<\/code>) eri\u015fmeyi deneyin. Taray\u0131c\u0131n\u0131z\u0131n ba\u011flant\u0131n\u0131n g\u00fcvenli oldu\u011funu belirtmesi gerekir (kendinden imzal\u0131 sertifikalar i\u00e7in bir uyar\u0131 alabilirsiniz, bu normaldir).<\/p>\n\u00d6zel Roller Olu\u015fturma ve Y\u00f6netme: Daha Gran\u00fcler Kontroller \u0130\u00e7in<\/h3>\n
Bazen CUPS'\u0131n varsay\u0131lan lpadmin<\/code> ve lp<\/code> gruplar\u0131 ihtiya\u00e7lar\u0131n\u0131z\u0131 kar\u015f\u0131lamayabilir. \u00d6rne\u011fin, sadece yazd\u0131rma kuyruklar\u0131n\u0131 g\u00f6r\u00fcnt\u00fcleyebilen ancak i\u015fleri iptal edemeyen bir \"Denet\u00e7i\" rol\u00fcne veya sadece belirli yaz\u0131c\u0131lar\u0131 y\u00f6netebilen \"Departman Y\u00f6neticisi\" rol\u00fcne ihtiyac\u0131n\u0131z olabilir. CUPS do\u011frudan \"rol\" kavram\u0131n\u0131 desteklemese de, AuthGroup<\/code> ve Limit<\/code> direktiflerini kullanarak bu t\u00fcr \u00f6zel yetkilendirmeleri sim\u00fcle edebiliriz.<\/p>\nDiyelim ki, sadece yazd\u0131rma kuyruklar\u0131n\u0131 g\u00f6r\u00fcnt\u00fcleyebilen ve i\u015flerin durumunu kontrol edebilen, ancak hi\u00e7bir \u015fekilde yazd\u0131rma i\u015fi g\u00f6nderemeyen veya iptal edemeyen bir \"izleyici\" grubuna ihtiyac\u0131m\u0131z var.<\/p>\n
\nsudo groupadd cups_izleyici\nsudo usermod -aG cups_izleyici gozlemci_kullanici\n<\/pre>\n<\/code><\/p>\n
\u015eimdi cupsd.conf<\/code> dosyas\u0131nda, yazd\u0131rma kuyruklar\u0131n\u0131 ve i\u015fleri g\u00f6r\u00fcnt\u00fcleme yetkisi i\u00e7in a\u015fa\u011f\u0131daki gibi bir blok tan\u0131mlayabiliriz:<\/p>\n\n\n # Mevcut izinler\n Order Deny,Allow\n Deny From All\n Allow From 127.0.0.1\n Allow From @LOCAL\n # AuthType Basic\n # Require group yazdirma_kullanicilari\n\n # \u0130zleyici grubuna sadece okuma yetkisi verelim\n # Sadece g\u00f6r\u00fcnt\u00fcleme i\u015flemleri i\u00e7in (HTTP GET)\n AuthType Basic\n Require group cups_izleyici\n Order Allow,Deny\n Allow From All # T\u00fcm a\u011flardan g\u00f6r\u00fcnt\u00fclemeye izin ver, ancak kimlik do\u011frulamas\u0131 \u015fart\n <\/Limit>\n\n # Di\u011fer i\u015flemleri (POST, PUT, vb.) k\u0131s\u0131tlay\u0131n veya mevcut gruplara b\u0131rak\u0131n\n \n AuthType Basic\n Require group yazdirma_kullanicilari # Sadece yazd\u0131rabilecekler i\u015f g\u00f6nderebilir, iptal edebilir\n <\/Limit>\n<\/Location>\n<\/pre>\n<\/code><\/p>\n
Bu yap\u0131land\u0131rma, cups_izleyici<\/code> grubundaki kullan\u0131c\u0131lar\u0131n CUPS web aray\u00fcz\u00fc veya komut sat\u0131r\u0131 ara\u00e7lar\u0131 (lpstat<\/code> gibi) arac\u0131l\u0131\u011f\u0131yla yazd\u0131rma i\u015flerini ve kuyruklar\u0131n\u0131 g\u00f6r\u00fcnt\u00fclemesine izin verirken, di\u011fer i\u015flemleri (yazd\u0131rma, i\u015f iptali) yasaklar veya ba\u015fka bir gruba atar. <\/code> direktifi, belirli HTTP y\u00f6ntemlerine g\u00f6re eri\u015fim kurallar\u0131 tan\u0131mlaman\u0131za olanak tan\u0131r, bu da olduk\u00e7a gran\u00fcler bir kontrol sa\u011flar. CUPS'ta ACL (Eri\u015fim Kontrol Listesi) benzeri bu mekanizma, ger\u00e7ek bir RBAC sistemindeki rollere kar\u015f\u0131l\u0131k gelen yetki setleri olu\u015fturman\u0131za olanak tan\u0131r.<\/p>\nUnutmay\u0131n ki her de\u011fi\u015fiklik sonras\u0131 CUPS servisini yeniden ba\u015flatman\u0131z gerekmektedir. Bu geli\u015fmi\u015f yap\u0131land\u0131rmalarla, yazd\u0131rma altyap\u0131n\u0131z\u0131n g\u00fcvenli\u011fini daha da art\u0131rabilir ve farkl\u0131 ihtiya\u00e7lara sahip kullan\u0131c\u0131 gruplar\u0131 i\u00e7in esnek yetkilendirme politikalar\u0131 olu\u015fturabilirsiniz.<\/p>\n
\nVaka Analizi: Kurumsal Ortamda Departman Bazl\u0131 Yazd\u0131rma Yetkilendirmesi<\/h3>\n
B\u00fcy\u00fck bir \u015firkette Pazarlama, \u0130nsan Kaynaklar\u0131 (\u0130K) ve Finans departmanlar\u0131 bulunmaktad\u0131r. Her departman\u0131n kendi \u00f6zel yaz\u0131c\u0131lar\u0131 ve bu yaz\u0131c\u0131lara sadece o departman \u00e7al\u0131\u015fanlar\u0131n\u0131n eri\u015febilmesi gerekmektedir. IT departman\u0131 ise t\u00fcm yaz\u0131c\u0131lar\u0131 y\u00f6netebilmelidir.<\/p>\n
\n- Departman Gruplar\u0131n\u0131n Olu\u015fturulmas\u0131:<\/strong>\n
\nsudo groupadd pazarlama_printer\nsudo groupadd ik_printer\nsudo groupadd finans_printer\nsudo groupadd it_admin\n <\/pre>\n<\/code>\n <\/li>\n
- Kullan\u0131c\u0131lar\u0131n Gruplara Eklenmesi:<\/strong>\n
\n# \u00d6rnek olarak\nsudo usermod -aG pazarlama_printer pazarlama_calisani1\nsudo usermod -aG ik_printer ik_calisani1\nsudo usermod -aG finans_printer finans_calisani1\nsudo usermod -aG it_admin it_yonetici1\n <\/pre>\n<\/code>\n <\/li>\n
cupsd.conf<\/code> Departman Bazl\u0131 Yaz\u0131c\u0131 Yetkilendirmesi:<\/strong>\n\n# Pazarlama Departman\u0131 Yaz\u0131c\u0131s\u0131\n\n Order Deny,Allow\n Deny From All\n Allow From 127.0.0.1\n AuthType Basic\n Require group pazarlama_printer @it_admin\n<\/Location>\n\n# \u0130K Departman\u0131 Yaz\u0131c\u0131s\u0131\n\n Order Deny,Allow\n Deny From All\n Allow From 127.0.0.1\n AuthType Basic\n Require group ik_printer @it_admin\n<\/Location>\n\n# Finans Departman\u0131 Yaz\u0131c\u0131s\u0131\n\n Order Deny,Allow\n Deny From All\n Allow From 127.00.1\n AuthType Basic\n Require group finans_printer @it_admin\n<\/Location>\n\n# IT Y\u00f6neticileri i\u00e7in t\u00fcm admin aray\u00fcz\u00fcne tam eri\u015fim\n\n AuthType Basic\n Require group it_admin\n Order Deny,Allow\n Deny From All\n Allow From 127.0.0.1\n Allow From @LOCAL\n<\/Location>\n <\/pre>\n<\/code>\n <\/li>\n<\/ol>\n
Bu yap\u0131land\u0131rma ile her departman kendi yaz\u0131c\u0131s\u0131na eri\u015febilirken, IT y\u00f6neticileri t\u00fcm yaz\u0131c\u0131lar\u0131 y\u00f6netebilir. Require group pazarlama_printer @it_admin<\/code> ifadesi, hem pazarlama grubunun hem de IT y\u00f6neticileri grubunun bu yaz\u0131c\u0131ya eri\u015febilmesini sa\u011flar. Bu, b\u00fcy\u00fck ve karma\u015f\u0131k kurumsal a\u011flarda RBAC'\u0131n ne kadar g\u00fc\u00e7l\u00fc ve esnek oldu\u011funu g\u00f6steren harika bir \u00f6rnektir.<\/p>\n<\/div>\nCUPS RBAC'ta En \u0130yi Uygulamalar ve Sorun Giderme: Yazd\u0131rma Altyap\u0131n\u0131z\u0131 Sa\u011flamla\u015ft\u0131rma<\/h2>\n
CUPS'ta rol tabanl\u0131 eri\u015fim kontrol\u00fcn\u00fc uygulamak yaln\u0131zca do\u011fru yap\u0131land\u0131rma direktiflerini bilmekle kalmaz, ayn\u0131 zamanda uzun vadeli g\u00fcvenlik ve s\u00fcrd\u00fcr\u00fclebilirlik i\u00e7in baz\u0131 en iyi uygulamalar\u0131 benimsemeyi de gerektirir. Ayr\u0131ca, kar\u015f\u0131la\u015f\u0131labilecek olas\u0131 sorunlar\u0131 \u00e7\u00f6zmek i\u00e7in pratik yakla\u015f\u0131mlar geli\u015ftirmek de \u00f6nemlidir.<\/p>\n
En Az Yetki Prensibi: G\u00fcvenli\u011fin Temel Ta\u015f\u0131<\/h3>\n
RBAC'\u0131n temel felsefesi olan \"en az yetki\" prensibini her zaman g\u00f6z \u00f6n\u00fcnde bulundurun. Bu, her kullan\u0131c\u0131n\u0131n veya grubun, i\u015flerini yapabilmek i\u00e7in yaln\u0131zca kesinlikle ihtiya\u00e7 duydu\u011fu minimum yetkilere sahip olmas\u0131 gerekti\u011fi anlam\u0131na gelir. \u00d6rne\u011fin, bir kullan\u0131c\u0131n\u0131n yaz\u0131c\u0131 y\u00f6netme yetkisine ihtiyac\u0131 yoksa, onu lpadmin<\/code> grubuna eklemeyin. Bu prensip, olas\u0131 g\u00fcvenlik ihlallerinin etkisini s\u0131n\u0131rlar. Bir kullan\u0131c\u0131n\u0131n hesab\u0131 tehlikeye girse bile, sald\u0131rgan\u0131n elde edece\u011fi yetkiler s\u0131n\u0131rl\u0131 olacakt\u0131r. Bu, sald\u0131r\u0131 y\u00fczeyini daralt\u0131r ve potansiyel zarar\u0131 minimize eder. D\u00fczenli olarak kullan\u0131c\u0131 ve grup atamalar\u0131n\u0131 g\u00f6zden ge\u00e7irin, gereksiz yetkileri kald\u0131r\u0131n.<\/p>\nD\u00fczenli Denetim ve G\u00fcnl\u00fck Kayd\u0131: CUPS Ne Anlat\u0131yor?<\/h3>\n
CUPS, sistem etkinliklerini kaydetmek i\u00e7in kapsaml\u0131 g\u00fcnl\u00fck dosyalar\u0131 tutar. Bu g\u00fcnl\u00fckler (genellikle \/var\/log\/cups\/access_log<\/code> ve \/var\/log\/cups\/error_log<\/code>), g\u00fcvenlik denetimleri ve sorun giderme i\u00e7in paha bi\u00e7ilmez kaynaklard\u0131r. A\u015fa\u011f\u0131daki gibi basit komutlarla bu g\u00fcnl\u00fckleri kontrol edebilirsiniz:<\/p>\n\ntail -f \/var\/log\/cups\/access_log\ntail -f \/var\/log\/cups\/error_log\n<\/pre>\n<\/code><\/p>\n
access_log<\/code>, kimin ne zaman hangi yaz\u0131c\u0131ya yazd\u0131rma i\u015fi g\u00f6nderdi\u011fini, web aray\u00fcz\u00fcne kimin eri\u015fti\u011fini ve hangi HTTP isteklerinin yap\u0131ld\u0131\u011f\u0131n\u0131 g\u00f6sterir. error_log<\/code> ise CUPS hizmetindeki hatalar\u0131 ve uyar\u0131lar\u0131 i\u00e7erir, bu da yap\u0131land\u0131rma hatalar\u0131n\u0131 veya ba\u015far\u0131s\u0131z yetkilendirme denemelerini tespit etmede yard\u0131mc\u0131 olabilir. \u015e\u00fcpheli aktiviteleri (\u00f6rne\u011fin, \u00e7ok say\u0131da ba\u015far\u0131s\u0131z oturum a\u00e7ma denemesi veya beklenmedik y\u00f6netim eylemleri) izlemek i\u00e7in bu g\u00fcnl\u00fckleri d\u00fczenli olarak inceleyin. Log y\u00f6netim sistemleri (ELK Stack, Splunk) kullanarak bu g\u00fcnl\u00fckleri merkezi bir yerde toplay\u0131p analiz etmek, b\u00fcy\u00fck \u00f6l\u00e7ekli ortamlarda proaktif g\u00fcvenlik izleme sa\u011flar.<\/p>\nG\u00fcvenli Yap\u0131land\u0131rma \u015eablonlar\u0131 ve S\u00fcr\u00fcm Kontrol\u00fc<\/h3>\n
Karma\u015f\u0131k CUPS yap\u0131land\u0131rmalar\u0131 i\u00e7in, cupsd.conf<\/code> dosyan\u0131z\u0131n s\u00fcr\u00fcm kontrol\u00fc alt\u0131nda tutulmas\u0131 (\u00f6rne\u011fin Git kullanarak) \u00f6nemlidir. Bu, yap\u0131lan de\u011fi\u015fiklikleri izlemenize, hatal\u0131 yap\u0131land\u0131rmalar\u0131 geri alman\u0131za ve farkl\u0131 CUPS sunucular\u0131nda tutarl\u0131 yap\u0131land\u0131rmalar uygulaman\u0131za olanak tan\u0131r. Ayr\u0131ca, belirli bir rol veya departman i\u00e7in standartla\u015ft\u0131r\u0131lm\u0131\u015f yap\u0131land\u0131rma \u015fablonlar\u0131 olu\u015fturmak, yeni yaz\u0131c\u0131lar eklerken veya kullan\u0131c\u0131 gruplar\u0131n\u0131 de\u011fi\u015ftirirken tutarl\u0131l\u0131\u011f\u0131 ve g\u00fcvenli\u011fi sa\u011flar.<\/p>\nMobil Uyumluluk: Y\u00f6netim Aray\u00fczlerine Duyarl\u0131 Eri\u015fim<\/h3>\n
G\u00fcn\u00fcm\u00fczde sistem y\u00f6neticileri ve kullan\u0131c\u0131lar, yazd\u0131rma hizmetlerine sadece masa\u00fcst\u00fc bilgisayarlar\u0131ndan de\u011fil, ayn\u0131 zamanda mobil cihazlar\u0131ndan da eri\u015fmek isteyebilirler. CUPS'\u0131n web aray\u00fcz\u00fcn\u00fcn mobil uyumlu olmas\u0131, bu eri\u015fimi kolayla\u015ft\u0131r\u0131r. CUPS'\u0131n dahili web aray\u00fcz\u00fc genellikle responsive de\u011fildir, ancak kendi \u00f6zel y\u00f6netim aray\u00fczlerinizi geli\u015ftiriyorsan\u0131z veya kullan\u0131c\u0131lar\u0131n\u0131za CUPS durumunu g\u00f6r\u00fcnt\u00fcleyecek basit HTML sayfalar\u0131 sunuyorsan\u0131z, mobil uyumluluk \u00f6nemlidir. Temel responsive tasar\u0131m prensiplerini uygulayarak, HTML i\u00e7eri\u011finizin farkl\u0131 ekran boyutlar\u0131na uyum sa\u011flamas\u0131n\u0131 sa\u011flayabilirsiniz.<\/p>\n
Bunu sa\u011flamak i\u00e7in, HTML yap\u0131n\u0131zda esnek bir grid sistemi kullanmal\u0131, resimlerin ve di\u011fer medya \u00f6\u011felerinin ekran boyutuna g\u00f6re otomatik olarak \u00f6l\u00e7eklenmesini sa\u011flamal\u0131 ve metin boyutlar\u0131n\u0131 okunabilir tutmal\u0131s\u0131n\u0131z. CSS media query'ler (medya sorgular\u0131) kullanarak farkl\u0131 ekran boyutlar\u0131 i\u00e7in farkl\u0131 stil kurallar\u0131 tan\u0131mlayabilirsiniz. \u00d6rne\u011fin, tablolar\u0131 k\u00fc\u00e7\u00fck ekranlarda daha okunabilir hale getirmek i\u00e7in yatay kayd\u0131rma \u00e7ubuklar\u0131 eklemek veya s\u00fctunlar\u0131 alt alta s\u0131ralamak gibi y\u00f6ntemler kullan\u0131labilir. Bu, CUPS'\u0131n sa\u011flad\u0131\u011f\u0131 bilgilerin her cihazda eri\u015filebilir ve kullan\u0131labilir olmas\u0131n\u0131 sa\u011flar.<\/p>\n
\u00d6rne\u011fin, bir CUPS durumu tablosu i\u00e7in basit bir mobil uyum yakla\u015f\u0131m\u0131 (CSS kodlar\u0131n\u0131n <\/code> etiketinde yer almas\u0131 gerekti\u011fini unutmay\u0131n):<\/p>\n\n\n\n \n \n Yaz\u0131c\u0131 Ad\u0131<\/th>\n Durum<\/th>\n Konum<\/th>\n <\/tr>\n <\/thead>\n \n \n Ofis Yaz\u0131c\u0131s\u0131<\/td>\n Haz\u0131r<\/td>\n Kat 1<\/td>\n <\/tr>\n \n <\/tbody>\n<\/table>\n\n\n