Haftada bir gün için sudoers?

Patronum tarafından üretim redhat sunucumuzun sistem yöneticisi olmak için gönüllü oldum. Benden rm -f *uzun zaman önce meydana gelen aksiliklerden kaçınmak için güvenliği sıkılaştırmamı istedi .

Şu anda, makineye sudo 53 kullanıcı giriyor ve bu bir denetim kabusu. Sadece haftanın belirli günlerinde kullanıcı erişimine izin verilip verilmeyeceğini merak ediyorum.

Örneğin, 'Joe' kullanıcısının SADECE Salı ve Perşembe günleri girişine izin verebilir miyim ve 'Jane' sadece Pazar günleri? Buna etc/sudoersizin vermek için özelleştirilebilir mi?

Sudo kullanmak yerine daha iyi bir yol var mı?

sudo kimlik doğrulamasını PAM aracılığıyla yapıyor, tıpkı bir Linux kutusundaki diğer her şey gibi.

Yani bunu pam_time.soyapmak için kullanabilmelisin .

Varsayılan olarak en azından Debian'da bu modül etkin değildir. Şuna benzer bir satır eklemeniz gerekir:

account    requisite  pam_time.so

birine /etc/pam.d/sudosadece sudo için veya sağlamak için /etc/pam.d/common-accountsistem üzerindeki tüm programlar için etkinleştirmek için (Pam-yetkilisi güncelleme bloğundan sonra).

Ardından /etc/security/time.conf, kısıtlamalarınızı ayarlamak için düzenleyin . Hizmet adı olmalıdır sudo. Örneğin, Fred'in sudoCuma günü sadece 15:00 - 17:00 arasında kullanılmasına izin vermek için :

sudo;*;fred;Fr1500-1700

(NOT: Bunu test etmedim.)

edit: Açık olmak gerekirse, ben diğer cevap ve çeşitli yorumcular katılıyorum, kök olarak çok fazla komut çalışan çok fazla insan var gibi görünüyor ve gerçekten bunu düzeltmek gerekiyor. Ve elbette eğer kök haline gelebilirlerse, pam yapılandırmasını düzenleyebilirler ...

Neden 53 kullanıcının günlük işlerini yapmak için sudo'ya ihtiyaç duyduğunu sorgulayacağım - çoğu kullanıcı (hatta geliştiriciler için), sudo nadir bir istisna olmalı, birinin rasgele bir sudo rm -rf *komut çalıştırması gibi rutin bir şey değil .

İnsanlara işlerini halletmeleri için ihtiyaç duydukları dosyalara, belki de yeniden başlatma hizmetleri gibi şeyler yapmalarına izin vermek için bazı setuid veya sudo'lu komut dosyaları veya ikili dosyalar kullanarak erişim sağlamak için grup izinlerini (veya daha gelişmiş ACL'leri) kullanabilir misiniz? (güvenli bir setuid / sudo betiği yazmanın zor olduğunu unutmayın, bu yüzden dürüst insanları dürüst tutmak daha fazladır).

İnsanları haftada bir gün sudo erişimi ile kısıtlasanız bile, bu hala bir hafta içinde sudo erişimi olan 53 kişidir, bu nedenle temel sorununuza gerçekten yardımcı olmaz.

Bu nedenle, birçok kullanıcının bir üretim sunucusuna erişmesi gerekip gerekmediğini soruyorum - günlükleri veya üretim dışı bir makineye ihtiyaç duydukları veri / dosyaları gönderebilir misiniz?

En basit yol, yapılandırmalarınız için suders.d (inludedir aracılığıyla) kullanmaktır. Daha sonra, istediğiniz zamanlar için her kullanıcının kurallarını bu dizine yerleştirebilecek cron işleriniz olabilir.

#İncludedir yönergesi, sudoers kurallarını kurallarınızın bir parçası olarak bırakabileceğiniz bir sudo.d dizini oluşturmak için / etc / sudoers içinde kullanılabilir. Örneğin, verilen:

#includedir /etc/sudoers.d

sudo, /etc/sudoers.d içindeki her dosyayı okuyacak ve '~' ile biten ya da '.' içeren dosya adlarını atlayacaktır. karakter yöneticisi veya editör geçici / yedek dosyaları ile sorunlara neden önlemek için. Dosyalar sıralanmış sözcük sırasına göre ayrıştırılır. Yani, /etc/sudoers.d/01_first /etc/sudoers.d/10_second tarihinden önce ayrıştırılacaktır. Sıralama sayısal değil, sayısal değil, /etc/sudoers.d/1_whoops /etc/sudoers.d/10_second sonra yükleneceğini unutmayın. Bu tür sorunları önlemek için dosya adlarında tutarlı sayıda önde gelen sıfır kullanmak kullanılabilir.

#İnclude yoluyla eklenen dosyaların aksine, visudo'nun #includedir dizinindeki dosyalar sözdizimi hatası içermedikçe düzenlemeyeceğini unutmayın. Dosyaları doğrudan düzenlemek için udof bayrağıyla visudo çalıştırmak hala mümkündür.

/etc/sudoers.d/joe, joe'nin erişmesini istediğinizde mevcut olur ve erişimi kaldırmak için dosyayı kaldırabilirsiniz.

Kullanıcıları sudo grubuna koymak için bir crontab ve ardından bu kullanıcıyı çıkarmak için ikinci bir crontab ekleyebilirsiniz.