Вообще вопрос очень глупый и банальный, но тем не менее я так и не смог найти на него ответ.
Классическая ситуация. Есть Nginx (с apache-м те же грабли), работает от от лица www-data/www-data. Виртуальны хост настроен на каталог /var/www. Есть, некий пользователь developer/developer.
 
В общем суть проблемы в том, что www/data и developer должны (обязаны) вместе работать в рамках каталога /var/www. Developer - пишит и правит скрипты (и любые файлы) ручками, а www-data, может модифицировать файлы в автоматическом режиме. Изучая материал по теме я часто сталкивался с ответом вроде "www-data должен иметь права только к паре каталогов/файлов". Если вы придерживаетесь такой точки зрения, то вопрос все равно актуален т.к. в рамка этих "некоторых каталогов" developer и www-data все же должны работать совместно.

Еще есть важный момент: developer правит все каталоги не на прямую. Процесс выглядит следующим образом: он правит скрипт на локальной windows мошине, специальная программа realSync детекти это и по факту открывает shh соединение от лица developer/developer для правки файла на удаленном сервере. Аналогично работает удаление файлов.

Что я побывал?
1. Добавлять www-data в группу developer и developer в группу www-data. Все было здорово, но эти нехорошие пользователи могут создавать файлы с правом записи, только для себя (без права для своей группы). Вот так: www-data создал файл, а developer потом не может его удалить.
2. Запускать nginx от лица developer/developer. Тут главная проблема в том, что www-data по умолчанию имеет правильные права для работы с некоторыми системными каталогами (на пример хранить сессию пользователя). Очень не хочется настраивать и, главное, в последствие поддерживать эти же права для developer.
3. Побывал использовать дополнительные биты прав SGID на корневой каталог проекта, но это вообще было подобно велосипеду и постоянно все шло сикось на кось.
4. Читал про ACL. Не дочитав предположил, что это надстройка которая позволит наделать еще больше прав над стандартными, но проблему со стандартными не решит. 

Вот как-то так. Есть у кого-нибудь идеи как можно решить эту проблему? Мне лично нравиться первый вариант т.к. по идее осталось просто навязать обои пользователям, чтоб все создаваемые ими файлы и каталоги обязательно имели права на запись для группы.

Это сообщение отредактировал(а) BuShaRt - 24.2.2014, 10:53

1) Стандартный метод -- umask 002, и SGID. И однократно сменить у всего дерева права и группу на какую надо, www-data там.
umask можно поставить, например, через pam_umask.
Да, разумеется, могут быть утилиты, которые плюют на umask и жёстко ставят какие-то конкретные права. Но во-первых, для вендоутиля, который ходит через ssh это было бы странно, а во-вторых в любом случае -- надо разбираться зачем и почему они это делают.
2) acl вполне позволяет это обойти, добавив наследуемое (default) разрешэние писать для конкретной группы. 

Пока что дописал mask 0002 в /etc/init.d/nginx

Случайно наткнулся на информацию по этому вопросу на страницах Symfony Book: http://symfony.com/doc/master/book/install...ation-and-setup Смотри "Setting up Permissions"