Dotaz: Práva root pro jiného uživatele

[petrhrt]

Ahoj, chtěl bych poprosit o radu. Potřeboval bych nastavit stejná práva jako má root, tak pro jiného usera např. petr

sys.Debian

Děkuji za rady.

---

---

Odpovědi

[Petr Šobáň]

Nejde! A důvod?

Jiný uživatel nemá jako root co pracovat!

Pokud normální uživatel potřebuje něco spouštět jako root používá se sudo.

[Ivo]

V /etc/sudoers se to da nastavit.

[mikky]

Správný způsob je použít sudo. Špatný postup je dát uživateli ID 0 v /etc/passwd. Druhá varianta je v některých případech obhajitelná, ale je to fuj fuj.

[Jirka]

Proč špatný postup?
Pokud není uživatel šťoural nebo lamer, co rád dělá místo na disku, tak by to nemělo ničemu vadit.

[mikky]

Už z principu. Mít dva prakticky nerozlišitelné uživatele je nežádoucí z hlediska bezpečnosti (např. dohledání činnosti v logu).

Navíc, po přihlášení systém neví, kdo se přihlásil (login shell běží s EID 0, bez vazby na username), takže spousta nástrojů bude používat při překladu na username náhodně root nebo petr (podle implementace), což může způsobovat problémy u nástrojů, které s username pracujou. Taky dál třeba nemusí být jasné, jaký má uživatel $HOME, atd. atp.

Zjednodušeně řečeno, může to vést k nepředvídatelnému chování některých programů. Což pro programy běžící s EID 0 rozhodně není dobré.

[Jirka]

Uživatele root můžu vypnout a jeho práva přidělit jinému.
Na svým PC sice pečlivě sučkuju, sudo mi přijde nepraktický, ale raspberrka postrkaný všude možně po baráku mám ošetřený právě takhle.
Výhoda, že případný hacker musí uhádnout jméno i heslo, tak zůstane zachována.

[Šangala]

K čemu je to dobré, že se root nejmenuje root?

[axel]

No vzdyt to tam pise - musis pripadne uhodnout i jmeno superuzivatele (mira bezpecnostniho prinosu je samozrejme k diskusi).

[Šangala]

Aha, jen toto, tak to k diskuzi moc nebude

[petr_p]

Navíc, po přihlášení systém neví, kdo se přihlásil

Když si přeložíte jádro s CONFIG_AUDIT, budete mít v /proc/self/loginuid původní přihlašovací jméno.

[helb]

Mělo by stačit nastavit v /etc/sudoers druhému uživateli UID 0:

root:x:0:0:root:/root:/bin/bash
…
petr:x:0:0::/home/petr:/bin/bash

Ale asi to není moc dobrý nápad a bude lepší použít su/sudo.

[traktorista]

SELinux a 'root' zrusit.

[mch]

Zalezi, jestli to chces na vsechno nebo jen na neco. Jestli na vsechno, tak zkus sudo -i. Dobra varianta je jiz zmineny sudoers soubor (visudo). Jestli to je jen na jeden/nekolik souboru muzes pouzit setgid/setuid bit + ACL. Pokud bys mu potreboval vytvorit nejaky kompaktni 'blackbox' ve kterem by mohl fungovat jako root, muzes pouzit chroot.Dal treba SElinux.. Variant je spousta a kazda ma sva pro i proti.

[2X4B-523P]

ještě hodně vyskakovat si můžou členové skupiny wheel - nemyslím tím nějakou kapelu

[2X4B-523P]

akorát jsem si nevšiml, že v Debianu tato skupina v základu už není, takže ta rada už je k ničemu...

[tsLnox]

To je fuk, stačí ji vytvořit a pak nadefinovat práva pro skupinu v sudoers... :)

[miro]

Pohledejte, řešilo se to tu víckrát, asi nejvýživnější diskuse je tady. Přeji hodnotný čtenářský zážitek.