Root kullanıcısından daha yüksek izinlere sahip bir kullanıcıya sahip olmanın avantajlı olabileceğini düşünüyordum.

Gördüğünüz gibi, tüm etkinlikleri ve hemen hemen tüm kök kullanıcı ayrıcalıklarını aynen olduğu gibi tutmak istiyorum .

Ancak, duruma göre son derece yalıtılmış bir durumda kökene sahip olma ayrıcalıklarını reddetme olanağını istiyorum.

Bunun avantajlarından biri, bazı istenmeyen dosyaların güncellemeler sırasında yüklenmesini önlememe izin vermekti. Bu sadece olası bir avantaj örneğidir.

Apt-get güncellemeleri root tarafından veya sudo ayrıcalıklarıyla çalıştırıldığından apt-get, güncelleme sırasında bazı istenmeyen dosyaları değiştirme olanağına sahiptir.

Bu ayrıcalıkları bu bireysel dosyalara veremezsem, onları /dev/nullgüncelleme işlemi sırasında dosyanın değiştirilmesini engelleyebilecek izinlere sahip olabilecek boş bir yer tutucu dosyaya bağlanabilir veya büyük bir yer tutucu dosyaya sahip olabilirim.

Buna ek olarak, yardım edemem ama Ubuntu yaratıcılarından biriyle yaptığımız röportajda, bir kullanıcı "bize" (Ubuntu cihazlarına atıfta bulunmaktan) daha iyi güvendiği hakkında bir şeyler söylediğinde söylenen bir hat hakkında hatırlatılsın. "Bu sistem güncellemelerinin root izniyle nasıl yapıldığının bir referansıydı.

Kurulum prosedürünü sadece bu problemi çözecek şekilde söyleyecek şekilde değiştirmek kesinlikle burada ilgilendiğim şey değil. Aklımın kök erişimini reddetme gücüne sahip olma fikrinin tadı olduğuna göre, bunu yapmak için bunu yapmanın bir yolunu bulmak istiyorum.

Sadece bunu düşündüm ve bu zamana kadar hiçbir zaman harcamamıştım ve bunun çözülebileceğine oldukça eminim. Ancak, bunun zaten yapılmış olup olmadığını veya bunun yeni bir fikir veya kavram olmadığını merak ediyorum.

Temel olarak, sistemin ötesinde yalnızca bir derece izin alabilecek süper bir süper kullanıcıya sahip olmanın bir yolu olmalı gibi görünüyor.

Not: Kabul edilen yanıtın ölçütlere en uygun olduğunu hissetmeme rağmen, @CR'nin yanıtını gerçekten seviyorum. Ayrıca.

Ağacın üzerinde (ben) daha yüksek bir gerçek kullanıcı oluşturmak isterdim ama sanırım anlamaya vaktim olduğunda bir gün oturmak zorunda kalacağım.

Ayrıca, burada Ubuntu'yu seçmeye çalışmıyorum; Olumsuz hissedersem, ana dağıtımım olarak kullanmazdım.

İstediğiniz "kullanıcı" adı LSM: Linux güvenlik modülü. En bilinenleri SELinux ve AppArmor'dur.

Bu sayede belirli ikili dosyaların (ve onların alt işlemlerinin) belirli şeyler yapmasını önleyebilirsiniz (UID'leri olsa bile root). Ancak bu işlemlere gettyve alt işlemlerine elle izin verebilmek için izin verebilirsiniz .

rootKullanıcı kavramını yanlış anlıyorsunuz .

Düz İngilizce olarak, root"ağacın tepesinde" dir.

Bir gün bir "süper süper kullanıcı" ve sonra gelecek ay bir "süper süper süper kullanıcı" (!) Almaya karar verirseniz. Ağacın ne kadar uzağa gitmek istersin? Bu işi yapmak için tüm izinleri ve hiyerarşiyi nasıl karıştırırsınız? Kim her zaman zirvededir? Birisi zirvede olmalı ve o root. Hikayenin sonu.

Burada verilen çözümler - AppArmor ve SELinux dahil - bunu gerçekten değiştirmez. Onlar sadece rootizinler ve süreçler üzerinde daha ince tahıl kontrolüne izin verir .

Güncelleme işleminiz istenen sonuç için uygun değil gibi geliyor. Ancak bu, rootkullanıcının bir hatası değildir . Aşırı karmaşık şeyler yapmak yerine, rooten üst düzey izin kullanıcısı olarak düşünün ve ardından diğer her şey için aşağı doğru çalışmalısınız.

Bazı insanların bunu işaretleyeceğini biliyorum, ancak kullanıcı hiyerarşisinde daha yüksek bir seviye yok ve diğer tüm çözümler rootizinlerin nasıl çalıştığı konusunda biraz farklı bir kontrol sağlıyor . Ancak , daha yüksek izinlere sahip yeni bir kullanıcı oluşturmazlar .

"İzinleri" daha fazla olan bir kullanıcıya sahip olamazsınız rootçünkü rootmümkün olan en yüksek izin seviyesini gösterir. "Kökten daha fazla kontrol" gibi bir cümle kullanmak bir çelişkidir - roottam kontrole ve tüm olası izinlere sahiptir, bu yüzden bunun üzerinde yapılabilecek hiçbir şey yoktur.

Dosyaların veya dizinlerin değiştirilmesini / silinmesini engellemek istiyorsanız, üzerlerindeki değişmez bayrağı ayarlayın.

chattr +i <file>

Bayrak çıkartılmadıkça root bile onlara bir şey yapamaz. Ayrıca root erişimini engellemek için container / namespace sistemini kullanmak da mümkündür, ancak bu ihtiyaç duyduğunuz şey için fazla mazeret gibi görünmektedir.

• Süper bir süper kullanıcıya sahip olmak yerine kökü sınırlayabilirsiniz. Bakınız gnu / linux'da dosya izinlerini ayarlamak için farklı yollar nelerdir?

• Ayrıca AppArmor ve SELinux da var.

• Ve / veya yapılandırın sudo, böylece tam root ayrıcalıklarını vermezsiniz. Bunu, bir kullanıcının önceden kararlaştırılmış argümanlarla yalnızca önceden kararlaştırılmış komutları çalıştırabilmesi için ayarlayabilirsiniz.

• Kök sınırlamak için sanallaştırmayı da kullanabilirsiniz:

  • grupları, ad alanları, chroot vb. (docker bunu yapar)
  • Xen
  • virtualbox

• Ayrıca bakınız etckeeper: bu araç revizyonu /etcdizini kontrol eder ve apt ile senkronize eder. Varsayılan olarak güvenli değildir, kötü amaçlı bir kurulum onu ​​sabote edebilir, ancak yangın duvarlı bir yedekleme havuzunda değişiklikleri zorlamasını sağlayabilirsiniz.

• Genel olarak revizyon kontrolünün kullanımı, yangın duvarlı bir yedekleme deposuyla. Bu, kazara, kasıtlı yolsuzluk ve donanım arızası ile yardımcı olur.

Güvenlik duvarı olan yedekleme havuzları farklı bir makinede, internette veya farklı bir sanal makinede (veya sanal makinenin ana bilgisayarında) olabilir.

Normal işletimde neredeyse tüm sistemlere erişim gerektiren APT gibi yazılımlar için kısıtlama problemlidir. Sistemin belirli bölümlerine erişmesini engelleseniz bile, büyük olasılıkla kötü niyetli distribütörün çalışabilmesi için fazlasıyla olasılık var. Örneğin, bir kitaplığı veya yalnızca bir ikili dosyayı değiştirerek veya sonunda sınırsız bir kökün kullanacağı kötü amaçlı bir yapılandırma değişikliği ekleyerek.

Ne kadar kısıtlama getireceğinize bağlı olarak, bazı kurulum komut dosyalarının kırılması beklenebilir.

Uygulamaları ve kullanıcıları kısıtlama yolları için bir AppArmor veya SELinux politikası yazabilirsiniz. Bu tür politika daha fazla desteklenir ki, dağıtımınıza bağlı olarak: Debian tabanlı AppArmor için daha iyi destek sağlarken, Fedora / RHEL tabanlı dağıtımlar varsayılan olarak SELinux'u etkinleştirir.

Hem AppArmor hem de SELinux , belirli eylemlere izin vermek (veya reddetmek) için kurallar içeren beyaz liste politikaları üzerinde çalışır . Politikalar, yürütmedeki bir işleme uygulanır , benzer şekilde kullanıcılar, oturum açma sırasında işlemlerine uygulanan bir politika uygulandığında kısıtlanabilir. İyi düşünülmüş bir politika çevrilemez (çekirdek hataları dikkate alınmazsa). Root (Uid 0) olarak çalışan sınırlı işlem yapılandırılmış politika tarafından sınırlandırılmıştır ve politikada açıkça izin verilmedikçe değiştirilemez.

AppArmor politika dili, kara liste politikası oluşturmak için kullanılabilecek bir reddetme kuralı tanımlar . AppArmor ile başlamak için iyi bir yer, AppArmor man sayfaları , wiki ve dağıtımınızdaki mevcut yapılandırmaya bakmaktır ./etc/apparmor.d/

Bol SELinux'un yönetim ve geliştirme malzemesi sağlanır SELinux'un wiki . SELinux referans politikası github'da barındırılmaktadır.

Kimsenin uygun bir şekilde iğnelemekten bahsetmediğine inanamıyorum ...

Birkaç yıl önce, Microsoft, Windows 10 makinelerini eski Samba NT4 Etki Alanı Denetleyicilerimizle konuşmasını engelleyen bir yama yayınladı. Sorun bulunduğunda, Samba paketini mevcut sürümde kalmaya devam ettirdik ve aptyine de doğru bir şekilde çalıştığımızı gördük .

Tam bir Debian Walkthrough süreci iyi açıklıyor:

In /etc/apt/preferences(veya yeni bir dosya under /etc/apt/preferences.d/), hangi paketi ve versiyonunu belirtmek için bazı metin eklemek:

Package: samba
Pin: release v=3.6.6-6+deb7u7
Pin-Priority: 900

Tam sözdizimi için belgelere bakın, ancak bu bir paket sürümünü sabitlemenin hızlı ve kirli yoludur. Kök olabilir kök daima yapabileceği gibi, bununla baypas, ancak bu çözer otomatik size paketleri yükseltmek için çalışıyoruz paket yöneticilerinin sorunu.

NOT: Bu cevap sizin bir XY sorununuz olduğunu varsayıyor

Aslında oldukça basit.

Kök sizin "süper süper kullanıcınız"

"Admin" adında bir hesap oluşturun ve ona istemediğinizlerin dışındaki tüm kök izinlerini verin.

Sonra bob adında bir kullanıcı oluşturun ve "admin" olmasına izin verin. Su veya sudo kullanarak.

Artık normal bir kullanıcı (bob) olan yönetici şeyler (admin) ve süper bir süper kullanıcı (root) yapabilen bir süper kullanıcı var.

Eğer "root" ismini başka bir şeyle değiştirmek istiyorsanız, bunu bile yapabilirsiniz. Teknik olarak sadece kullanıcı kimliği (0) önemlidir.

İstediğiniz şey yalnızca belirli dosyaların yüklenmesini engellemekse, kök izinlerini kısıtlamak bunu yapmanın yolu değildir. Konvansiyonel cevapların (değiştirilemez dosyalar veya LSM'lerin), APT (ve diğer birçok paket yöneticisi) dosyaları kuramazlarsa kurtarmayacağı gibi, özel kullanım durumunuz için işe yaramayacağına dikkat etmek önemlidir.

Sormak istediğiniz asıl soru şudur:

APT'nin belirli dosyaları yüklemesini önlemenin bir yolu var mı?

Bu, çoklu seviyelerde sorduğunuzdan tamamen farklı bir şey.

Şimdi, bu soruya göre kendim% 100 emin değilim, ancak bazı paket yöneticilerinin belirli dosyaların yüklenmesini önleme seçeneğine sahip olduğunu biliyorum (örneğin, Gentoo'nun Portage sistemi INSTALL_MASK=gerçekten kabuk kabul eden bir seçeneğe sahiptir). tarzı yüklenmeyen şeylerin kalıplarını eşleştirme). APT (ya da muhtemelen dpkg'ın kendisi için) için böyle bir seçeneğin mevcut olduğuna bahse girmekten çok daha fazla isterdim.

Yedek bir kopyasını güvenli bir yere koyun. Herhangi bir yükleme / güncelleme işleminden sonra, derhal belirli dosyaları bu yedeklemeden değiştirin. Bu nedenle, yüklemeyi bozacak hiçbir hata yok ama saklamak istediğiniz dosyaları hala geri alıyorsunuz.

Monte edilmiş bir sürücüden çalışın

Bunun çoğunlukla kavramsal bir cevap olduğuna dikkat edin, ancak başarmak istediğiniz şeyle çalışması ve ruhu içinde olması gerektiğini düşünüyorum.

Sistem X sizin çalışma sisteminiz olsun ve Y sistemi sizin kontrol ettiğiniz başka bir sistem olsun

1. Y'den bir dizini X'te bir sürücü olarak bağla
2. Hakları, X'in kök kullanıcısının, bu istisna sürücüde her şey üzerinde, birkaç istisna dışında hak sahibi olacak şekilde ayarlayın.

Şimdi neredeyse her şeyi yapabilen 'çalışma kökünüze sahipsiniz ve Y sisteminin gerçek kök hesabı olan ve her şeyi gerçekten yapabilen' kökünüz 'var.

Xen hipervizörü gibi bir tip 1 hiper yönetici çalıştırabilir ve normal işletim sisteminizi sanallaştırılmış bir konuk olarak barındırabilirsiniz. Hiper yönetici, sanal konuk işletim sistemini kökten daha derin bir seviyede kontrol eder çünkü konuk işletim sisteminin üzerinde çalıştığı (sanal) donanım üzerinde kontrolü vardır.

Hiper denetçiyi, misafir işletim sistemini manipüle etmek üzere, izinleri değiştirmek, yedek oluşturmak ve uygulamak, konuk işletim sistemindeki bazı değişiklikleri ya da talimatları almak, ek işlevsellik, doğrulama vb. Uygulamak için izinleri değiştirmek de dahil olmak üzere programlayabilirsiniz. "Kök bile yapamayan şeyler yapmak" için bir "kullanıcı" (aslında hipervizörün bir işlevi) olan unix tipi bir sistemi uygulamak

Benim bu yaklaşım muhtemelen overkill olduğunu hissediyorum

Bir göz atın cgroups ve Linux ad gibi onlara göre bu hedef türünü, hem de araçlar ulaşma alternatif bir yöntem olarak Docker ve LXD .

Bu araçlar, diğer şeylerin yanı sıra, "kök" olarak çalışan bir işlemin dosya sisteminin hangi bölümlerini görebileceğini, hangi süreçlerin görülebileceğini sınırlayabilmenizi ve "kök" kullanıcısına yalnızca belirli yetenekler sunabilmenizi sağlar .

UNINSTALL sudo

Nasıl Kaldırmak hakkında sudove sembolik bağ /bin/suiçin /bin/false? Bunu root, giriş yapamayacağınızdan sshve sistemi kilitlediğinizden emin olun .

Bu rootSüper * Süper Kullanıcı yapar ve diğer herkes buna bağlıdır.

Güncellemeler sırasında değiştirilen dosyalar için hiçbir güncelleme yapmayın. Daha gerçekçi olarak, dosyaların izinlerini değiştirir 440ya 444da yazamazlar. Veya onları bir git deposuna koyun, eğer üzerine yazılırsa geri alınabilir.