La directory pubblica costituisce la barriera di attraversamento principale: il tenant e il web server ricevono gli accessi necessari, mentre gli altri ambienti non appartengono al gruppo dedicato. File, directory, log, temporanei e backup seguono policy differenti. Il file di configurazione WordPress riconosciuto riceve un mode più restrittivo dei file generici.
La radice dei backup non è servita dal web e non è scrivibile dal tenant. Lo snapshot che contiene credenziali storiche resta accessibile soltanto all'amministrazione, mentre gli artefatti destinati al recupero tecnico possono essere leggibili dal gruppo del servizio.
I permessi sono una barriera DAC, non una prova che qualsiasi programma root operi correttamente. La progettazione dei workflow privilegiati resta decisiva.
Fliclic esegue con l'identità del tenant le attività che non richiedono root. Nel backup, per esempio, l'albero pubblico viene letto come utente dell'ambiente e inviato al processo che crea l'artefatto protetto. Nell'installazione WordPress, le operazioni applicative vengono eseguite come tenant dove possibile.
Root resta necessario per coordinare servizi, configurazioni, utenti e permessi. Il principio non è “mai usare privilegi”, ma ridurre ciò che il processo privilegiato legge e modifica e non delegargli decisioni basate su pathname controllabili dal tenant.
