“Sudo su -” kötü bir uygulama mıdır?

Arka fon

Farkı biliyorum arasında su -, sudo su -ve sudo <command>:

• su - - kullanıcıyı root'a geçirir, root şifresi gerektirir
• sudo su - - kullanıcıyı root'a geçirir, sadece mevcut kullanıcının şifresini gerektirir
• sudo <command>- yalnızca belirli bir komut için root erişimi verir; yalnızca geçerli kullanıcının şifresini gerektirir

Benim sorum sudo su -üretim ortamında güvenli bir uygulama olup olmadığı hakkında .

Bazı düşünceler:

1. sudo su -Kök hesaba erişimi bireysel kullanıcı şifrelerine bağlı hale getirerek bir güvenlik riski oluşturmaya izin vermek gibi görünüyor . Tabii ki, bu katı bir şifre politikası uygulanarak hafifletilebilir. su -Yöneticinin gerçek kök parolasını paylaşmasını gerektireceği için daha iyi olduğunu düşünmüyorum .

2. Kullanıcıların kök hesaba tamamen geçiş yapmalarına izin vermek, sistemde kimin değişiklik yaptığını takip etmeyi zorlaştırır. Günlük işimde birden fazla kullanıcıya sudo su -erişim verilen vakalar gördüm . Kullanıcıların sisteme giriş yaparken yaptıkları ilk şey sudo su -çalışmaya başlamadan önce çalıştırılır . Sonra, bir gün bir şey kırılır ve rm -rf *yanlış dizinde kimin çalıştığının izlenebilirliği yoktur .

Sorular

Yukarıdaki endişeler göz önüne alındığında, kullanıcıların kullanmasına sudo su -veya hatta su -hiç izin vermesi iyi bir fikir midir?

Kullanıcıyı yapılandırmak istiyorum yönetici hesapları herhangi bir sebep var mıdır sudo su -ya su -yerine sudo <command>(kenara tembellik itibaren)?

Not: Kök kullanıcı için doğrudan ssh erişimi devre dışı bırakıldığında , kullanıcının çalıştığı sudo su -veya su -Yöneticinin sistem değişiklikleri yapması gerektiği durumu görmezden geliyorum .

Davalarınıza bakalım:

 su -

root ortamını kullanarak root kullanıcısı olarak / bin / sh komutunu çalıştırır. Kök parolası gereklidir ve günlük kaydı syslog ayarlarına bağlı olarak kaydedilebilir (genellikle varsayılan olarak /var/log/auth.log biçimindedir).

 sudo /bin/sh

kabuk, geçerli ortam değişkenleri kümesini (sudoers dosyasında tanımlandığı gibi bazı istisnalar dışında) kullanarak kök kullanıcı olarak çalıştırır. Parola kaynak kullanıcı parolasıdır, kök kullanıcı parolası DEĞİLDİR. sudo genellikle günlüğe kaydedilir.

 sudo su -

kök kullanıcı olarak ortamı kök kullanıcı olarak ayarlayan bir kabuk (genellikle / bin / sh) çalıştırır. Bu, kaynak kullanıcının şifresini gerektirir ve bu genellikle günlüğe kaydedilir.

Bazen kök ortamın kendi ortamınız üzerinde olması gerekir, bu nedenle su - uygun bir yöntemdir. Sudo'nun her iki durumda da shell komutunun kullanımını günlüğe kaydedeceğini unutmayın.

* Yukarıdaki endişeler göz önüne alındığında, kullanıcıların sudo su kullanmasına izin vermek iyi bir fikirdir *

Hayır, bence değil. Bunu yapmak için root şifresine ihtiyaç duymadıkları için, su kullanmalarına izin vermenin pratik bir avantajı yoktur.

veya su - hiç?

Her zaman kök oturum açmayı devre dışı bıraktığım için, su gereklidir ve dengede, sunucuyu daha güvenli hale getirir.

OP, genel kullanımların çalışmasına izin vermemek / onları teşvik etmemek için sudo bashveya sudo su -dahili olarak genellikle günlüğe kaydedilmeyen tamamen güçlü bir moda geçirdiği için birçok iyi neden sunuyor gibi görünüyor . Ve o modda olduklarını unutabilir ve pişmanlık duyacak bir şey yapabilirler.

Ergo, çoğu kullanıcının çalıştırılması sudo on/a/particular/command/veya komut listesi ile sınırlı olması daha güvenli görünüyor . Bu şekilde her sudo komutu günlüğe kaydedilir.

Uygulamada istisnalarla karşılaşır mısınız? Elbette. Kısıtlamasız tembel uygulamaya geri dönmek için bu tür istisnalara tepki - sudo sumuhtemelen değil.