Her zaman benim ideolojim olmuştur, bir kullanıcı olarak Linux'ta istediğiniz her şeyi ve her şey için yapabileceğiniz her zaman vardır sudo. sistem yönetimi için sudoolduğu gibi, çoğu zaman diğer bazı kullanıcılar gibi bazı şeylerin yürütülmesine izin verir root. sudorutin görevlerimin ve ayrıcalıklarımın bir kısmını (root) kullanıcısı olarak başkalarına devretmek ve ayrıcalıkları gerekenden daha fazla yükseltmeksizin zamanımı ve diğerlerini daha iyi yönetmeye yardımcı olmak için daha büyük bir avantaj kaynağı olmuştur. Aynı zamanda, onların girişlerini hazırda tutmak, onlara güveniyorum.sudoersyapılandırma dosyası Bağlantılı olup olamayacağından emin değilim ama ne diyebilirim ki, sudo size kimin ve ne kadar güvenilir ayrıcalıklarla neler yapabilecekleri konusunda daha iyi bir güvenlik perspektifi veriyor. Bir şeyler ters giderse bile, onlar sorumludur. (Suçluları bulmak için her zaman sudoers log bilgisi ile sinsi bir şeftali yapabilirim). Adamlarım Linux ortamındaki yükseltilmiş ayrıcalıklarla yapmak istedikleri her şey için sudo yazmaları gerektiği yönündeki endişelerini her zaman dile getirmişlerdir. Burada da aynı soruyu buldum.
Çözümleri ve alternatifleri bulma arayışımı görmek için, Kaynak Tabanlı Erişim Kontrollerine rastladım, RBACancak bunun Solarisgibi araçların olduğu başka bir macera diyarında pfexectanıştım. sistem yöneticilerinin ayrıcalıklarıyla ne yapmak isteyeceklerinin vicdanı ve uyanıklığı üzerine.
RBAC ve Linux dünyasındaki uygulamalarının mevcut çözümleri göz önüne alındığında, rastladım
SELinux http://www.ibm.com/developerworks/linux/library/l-rbac-selinux/
grsecurity http://en.wikipedia.org/wiki/Grsecurity
ve başka uygulamalar olsa da, onları listenin en üst sırasına koyardım. RBAC'ı uygulamak, özellikle çok sayıda kullanıcı olduğunda bir kuruluşta çok çalışmaktır. RBAC, homojen ortamlarda daha büyük bir çözüm sunar. Bununla birlikte, ağda heterojen Unix kurulumları olduğunda ve kullanıcı veri tabanı yaygın olduğunda, bu muhtemelen başarısız olacaktır. SELinux Solaris'te ölçeklendirilemediğinden / uygulanmadığından ve RBAC / pfexec araçları Linux'ta uygulanmaz. Tek bir şey yapmak için farklı yaklaşımlar var. Örneğin: http://blogs.oracle.com/darren/entry/opensolaris_rbac_vs_sudo_howto
Ağ genelindeki farklı kurulumlar bu yaklaşımı desteklemeyebilir (ancak openrbac, sudoer'lar gibi tek bir ana bilgisayar yaklaşımı veya ağ / etki alanında merkezi yapılandırma yapamayanlar gibi ortak uygulama yaklaşımı olarak kabul edilebilir)./etc/sudoersBir değişiklik olduğunda her zaman senkronize edilmesi gerekir. Dahası, sudoers dosyasını çalıştırırken bilgi bankası gereksinimi vardır, sudoers yapılandırmasının politika dilini herhangi bir hata yapmamak ve herhangi bir hibeye izin vermemek gerekir. RBAC bir dereceye kadar merkezi bir yaklaşım sunabilir, ancak güvenlik profilleri ortak olsa da, verilen rolden bir kullanıcının eklenmesi / çıkarılması tek bir yerden (kullanıcı / şifre / grup bilgilerinin saklandığı yer) yapılabilir. LDAP, NIS veya AD gibi etki alanı). Bu aynı zamanda, smexec, smmultiuser, az olma gibi RBAC veritabanında çalışması için gereken komutları anlamayı da gerektirir.
Sudo, burada setuid özelliklerini sunan tüm Unix / benzeri platformlarda çalıştığı için daha fazla platformlar arası yaklaşım sunabilir. Her ikisi de sudove RBACroot dışı kullanıcılara rootparolanın kendisine verilmesiyle yapılabilecek bazı ayrıcalıkları vermeyi başar. Sudo, komutları çalıştırırken kullanılabilecek komut satırı argümanlarına daha ince / ayrıntılı bir yaklaşım verebilir ve argümanlarla hangi komutun yükseltilmiş ayrıcalıklarla çalıştırılabileceğini tamamen kısıtlayabilir. RBAC, yüklü komutları veya ikili dosyaları kullanmakla sınırlı olabilir, ancak komut satırı argümanları üzerinde herhangi bir kontrolü yoktur. Denetim RBAC ortamında çok daha iyi ve yerleşik iken,sudo, yapılandırmaya ve ayrıca alınan güvenlik kısıtlamalarına bağlıdır (kabuğu vermemek ve özellikle de ana bilgisayarların diğer ana bilgisayarlarına sorunsuzca giriş yapmasına izin verilir). Bunlar, aklıma gelebilecek farklılıklardan sadece birkaçı ve şahsen ben Sudo kullanma konusunda sudo kullanma eğilimim var. Tüm problemler RBAC tarafından daha iyi bir sudo avantajı için ele alınana kadar, sudo'nun bunun için gideceğini sanmıyorum.