abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 01:11 | Bezpečnostní upozornění

    Red Hat řeší bezpečnostní incident, při kterém došlo k neoprávněnému přístupu do GitLab instance používané svým konzultačním týmem.

    Ladislav Hagara | Komentářů: 0
    včera 23:33 | Nová verze

    Immich byl vydán v první stabilní verzi 2.0.0 (YouTube). Jedná se o alternativu k výchozím aplikacím od Googlu a Applu pro správu fotografií a videí umožňující vlastní hosting serveru Immich. K vyzkoušení je demo. Immich je součástí balíčků open source aplikací FUTO. Zdrojové kódy jsou k dispozici na GitHubu pod licencí AGPL-3.0.

    Ladislav Hagara | Komentářů: 0
    včera 22:33 | IT novinky

    Český telekomunikační úřad vydal zprávy o vývoji cen a trhu elektronických komunikací se zaměřením na rok 2024. Jaká jsou hlavní zjištění? V roce 2024 bylo v ČR v rámci služeb přístupu k internetu v pevném místě přeneseno v průměru téměř 366 GB dat na jednu aktivní přípojku měsíčně – celkově jich tak uživateli bylo přeneseno přes 18 EB (Exabyte). Nejvyužívanějším způsobem přístupu k internetu v pevném místě zůstal v roce 2024 bezdrátový

    … více »
    Ladislav Hagara | Komentářů: 0
    včera 12:11 | Nová verze

    Raspberry Pi OS, oficiální operační systém pro Raspberry Pi, byl vydán v nové verzi 2025-10-01. Přehled novinek v příspěvku na blogu Raspberry Pi a poznámkách k vydání. Jedná o první verzi postavenou na Debianu 13 Trixie.

    Ladislav Hagara | Komentářů: 0
    včera 05:22 | Nová verze

    Byla vydána nová verze 4.6 svobodného notačního programu MuseScore Studio (Wikipedie). Představení novinek v oznámení v diskusním fóru a také na YouTube.

    Ladislav Hagara | Komentářů: 0
    včera 02:22 | Komunita

    Společnost DuckDuckGo stojící za stejnojmenným vyhledávačem věnovala 1,1 milionu dolarů (stejně jako loni) na podporu digitálních práv, online soukromí a lepšího internetového ekosystému. Rozdělila je mezi 29 organizací a projektů. Za 15 let rozdala 8 050 000 dolarů.

    Ladislav Hagara | Komentářů: 4
    1.10. 20:11 | Nová verze

    Svobodný multiplatformní herní engine Bevy napsaný v Rustu byl vydán ve verzi 0.17. Díky 278 přispěvatelům.

    Ladislav Hagara | Komentářů: 0
    1.10. 16:11 | Nová verze

    Bylo vydáno openSUSE Leap 16 (cs). Ve výchozím nastavení přichází s vypnutou 32bitovou (ia32) podporou. Uživatelům však poskytuje možnost ji ručně povolit a užívat si tak hraní her ve Steamu, který stále závisí na 32bitových knihovnách. Změnily se požadavky na hardware. Leap 16 nyní vyžaduje jako minimální úroveň architektury procesoru x86-64-v2, což obecně znamená procesory zakoupené v roce 2008 nebo později. Uživatelé se starším hardwarem mohou migrovat na Slowroll nebo Tumbleweed.

    Ladislav Hagara | Komentářů: 3
    1.10. 16:00 | IT novinky

    Ministerstvo průmyslu a obchodu (MPO) ve spolupráci s Národní rozvojovou investiční (NRI) připravuje nový investiční nástroj zaměřený na podporu špičkových technologií – DeepTech fond. Jeho cílem je posílit inovační ekosystém české ekonomiky, rozvíjet projekty s vysokou přidanou hodnotou, podpořit vznik nových technologických lídrů a postupně zařadit Českou republiku mezi země s nejvyspělejší technologickou základnou.

    … více »
    Ladislav Hagara | Komentářů: 3
    1.10. 12:55 | Nová verze

    Radicle byl vydán ve verzi 1.5.0 s kódovým jménem Hibiscus. Jedná se o distribuovanou alternativu k softwarům pro spolupráci jako např. GitLab.

    Ladislav Hagara | Komentářů: 3
    Jaké řešení používáte k vývoji / práci?
     (40%)
     (47%)
     (14%)
     (16%)
     (18%)
     (14%)
     (18%)
     (14%)
     (14%)
    Celkem 159 hlasů
     Komentářů: 10, poslední dnes 01:37
    Rozcestník

    Dotaz: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?

    15.1.2020 22:46 Lubos
    Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    Přečteno: 653×
    Dobrý den,

    prosím vás, většina nejpoužívanějších počítačových operačních systémů (různá distra a verze Linuxu, různé verze Windowsu, ...) rozeznává 3 typy uživatelů: a.) Root (v Linuxu)/Administrátor (ve Windowsu), b.) Běžný uživatel a c.) Host.

    Potřebuji v systémech Linux (nejčastěji Ubuntu a Debian) a totéž stejné ale i v systémech Windows XP (proto prosím nemazat tento příspěvek jako Windowsový off-topic :-) ) vytvořit a nastavit něco jako více úrovní adminů, něco jako hierarchické úrovně adminů, kdy budou:
    1.) Host (stačí klasicky jeden) bez vlastního účtu,
    2.) Běžní uživatelé,
    3.) Admini kteří budou moci spravovat systém, měnit nastavení systému, instalovat programy, připojovat zařízení, ...
    4.) ale jeden admin jim bude nadřazený a nadřazenému adminovi nebude moci vůbec nikdo jiný ani žádný jiný admin ani prohlížet soubory ani měnit heslo ani mazat účet ...ani nic jiného a účet nadřazeného admina bude pro všechny včetně ostatních adminů úplně nedotknutelný?
    (A tedy pochopitelně vůbec nikdo ani žádný jiný uživatel ani žádný jiný admin ani nikdo nebude moci vytvořit ani žádného dalšího takového nadřazeného admina aby nemohl toto opatření obejít.)

    Moc to potřebuji pro potřeby počítačů sdílených mezi více uživateli, běžících na systémech Linux (nejčastěji Ubuntu a Debian) a Windows (nejčastěji XP) a některé na dualbootu Windows+Linux, kde potřebuji v Linuxu i ve Windowsu dát některým uživatelům tyto rozdílné úrovně oprávnění.

    Děkuji moc.

    Odpovědi

    Max avatar 15.1.2020 23:12 Max | skóre: 72 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    Nejde, minimálně né ve windows. Jakmile musíš dělat zásahy do systému, musíš mít admina a admin může všechno.
    V linuxu si nějaké věci můžeš ošetřit, ale jde to těžko. A jakmile někomu povolíš instalovat balíčky, tak se může v klidu stát i rootem a ty tomu nezabráníš.
    Přemýšlíš nad hodně špatným návrhem. Pokud chceš někomu dát roota, tak ho pusť do kontejneru, nebo mu vytvoř VM, kde si může hrát.
    Zdar Max
    Měl jsem sen ... :(
    15.1.2020 23:38 j
    Rozbalit Rozbalit vše Re: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    Ale jo, jde to, ale je to neskutecna vopicarna nastavit ... Sak se podivej, i zakladni widle maj hromadu skupin ... krome adminu tam mas backup operators, event log readers, power users, ... proste je toho hromada. A ma to nejak (vetsinu nepouzitelne) prednastaveny prava.

    Tyhle vopicarny se totiz vymejslej v korporatech a kdyz jim M$ chce prodavat, musi plnit jejich mokry sny ;D.

    2Lubos: ve tvym konkretnim pripade:

    1) na tuxovi i widlich je znam user "host", kterymu se proste necha pristup bez hesla, a i by defalt by mel mit minimalni prava (na widlich bude tak nejak na urovni beznyho usera, ale rozhodne si nic nenainstaluje)

    2) beznej user je beznej user ...

    3) admin ... je ... LOKALNI admin (jinak receno beznej user, ve skupine administrators)

    4) a ten superdmin je aspon ve widlosvete domenovej administrator, kterej muze vyhodit kohokoli z tech adminu, ale oni nemuzou vyhodit jeho.

    V linuxovym svete to lze dosahnout taky, navic muzes i linuxovej stroj zaradit do widlodomeny. Tady pak akorat musis zajistit to, ze root === ten domain admin. Ostatni "adminy" das do nejaky nonroot skupiny (nekdy byva skupina wheel) ktery nastavis prislusny prava.

    Jinak receno, potrebujes pro to zaridit centralni spravu, a protoze widle, tak jednoznacne AD. A protoze to nevis, tak si to nekde objednej, a pocitej ze to nastavit a zprovoznit rozhodne nebude stat 5 cifer, ale vic (v zavislosti na mnoztvi stroju, uzivatelu a dalsich pozadovanych vecech). Navic kdyz dodavateli sdelis tu radnostnou novinu, ze to chces confit pro XP, nejspis ti cenu zdesetinasobi.
    Max avatar 17.1.2020 14:53 Max | skóre: 72 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    Tazatel chce povolit instalaci sw pro ty adminy. Jakmile mohou dělat takové zásahy do systému, tak mohou cokoli.
    Ano, Windows má nějaké skupiny, ale podle mého nenaplní vše, co tazatel chce. A pokud jde o doménového uživatele, tak toho s lokálním adminem mohu od toho konkrétního PC odříznout taky.

    Tazatel jde na to podle mně špatně, jak už jsem psal (a jiní také), řešením je použít kontejnery, nebo plnou virtualizaci, nebo boot po síti z nějakého ro image a mít tak konzistentní image, do kterého nemohou zasahovat, a změny ukládat bokem, nebo neukládat a mít je jen v ram.
    Zdar Max
    Měl jsem sen ... :(
    17.1.2020 17:16 j
    Rozbalit Rozbalit vše Re: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    Pokud se bavime o tom co muzu nebo nemuzu, pokud mam k PC pristup, tak nepotrebuju vedet zadnej ucet a muzu vsechno (a je jedno jestli widle nebo tux). Bonusem pokud jsou ucty lokalni, tak si hesla rovnou prectu, z XPcek behem tak 10s z cehoz se 9s spotrebuje na boot.

    Nehlede na to ze si muzes vytvorit zcela svoji vlastni skupinu, ktera bude opravnena trebas jen instalovat aplikace a nic jinyho. Jenom nevim, proc by zrovna aplikace mel instalovat nekdo, paac ty se instalujou samy (teda aspon vetsina, existujou takovy kokotiny, ktery se bez hodiny straveny oklikavanim picovin neobejdou, trebas rovnou widle samotny ... ).

    A jiste, neco takovyho bude neskutecnej vupruz, protoze budes s kazdou dalsi aplikaci neustale narazet na to, ze nekam nemas prava. V principu by totiz trebas ten, kdo appku instaluje nemel mit pravo ji spustit ... zkus si tohle aplikovat ve widlosvete.

    Max avatar 17.1.2020 20:13 Max | skóre: 72 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    10s heslo znát nebudeš. Jasně, triviální hesla lehce uhádneš s Ophcrackem a dalšíma děckýma hračkama, ale pořád záleží na síle hesla. Když ti nakombinuju desetimístný heslo se vším všudy, tak to nedáš.
    Zdar Max
    Měl jsem sen ... :(
    xkucf03 avatar 16.1.2020 10:06 xkucf03 | skóre: 49 | blog: xkucf03
    Rozbalit Rozbalit vše D-Bus, sudo, auditd

    Řada věcí se dneska řeší přes D-Bus a ten má vlastní systém oprávnění. Představ si to jako objektový systém, kde máš různé objekty (reprezentující HW zařízení nebo systémové prostředky), na nich máš metody (a vlastnosti a signály) a pomocí politik (viz adresář /etc/dbus-1/system.d/) můžeš uživatelům nastavovat oprávnění volat jednotlivé metody. Takže tam máš mnohem větší granularitu než jen host-uživatel-root.

    D-Bus má dvě sběrnice (teoreticky jich může být víc, ale to se moc nepoužívá). Jedna je pro uživatelskou relaci (Session Bus), tam najdeš objekty a metody desktopových aplikací jako je ovládání hudebního přehrávače atd. A druhá je systémová (System Bus), kde zjistíš třeba stav baterky (notebooku, UPS, myši…), můžeš ovládat disky, síť atd.

    Projdi si tu systémovou sběrnici (GUI: qdbusviewer, d-feet, CLI: qdbus) a podívej se, jestli tam jsou akce, které potřebuješ těm správcům povolit. A podle toho si uprav ty politiky (nebo zjistíš, že už ta práva mají…).

    Nebo je tu klasický postup: sudo – tím povolíš vybraným uživatelům spouštět vybrané programy pod jinými uživateli (typicky pod rootem).

    Když ti nebudou stačit možnosti poskytované tvojí distribucí, tak si můžeš napsat vlastní program, který se bude volat přes sudo, nebo vlastní D-Bus službu (což překvapivě není až tak obtížné – zkoušel jsem si to v rámci cadMousePro), pomocí které vystavíš objekty/metody a zpřístupníš je vybraným uživatelům.

    A pak jsou případy, kdy je řešení nikoli technické, ale spíš společenské – donutit ty lidi, aby se chovali slušně a nezneužívali svoje pravomoci (a mít možnost prokázat, zpětně odhalit, pokud je zneužijí). Tady můžeš nasadit auditd, dát lidem možnost přepnout se na roota nebo libovolné sudo, ale logovat všechny jejich akce na vzdálený server (ke kterému máš přístup jen ty a oni z něj ty logy nemohou smazat). Alternativně lze mít nějaký terminál, přes který budou servery spravovat, a který bude všechnu jejich činnost nahrávat.

    Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-DK, Relational pipes
    16.1.2020 10:22 lertimir | skóre: 64 | blog: Par_slov
    Rozbalit Rozbalit vše Re: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    Trochu mi to připomíná něco jako školní projekt. Tedy umožnit studentům, aby v nějakém rozsahu měli admin práva, ale zároveň nezničili systém. Myslím si, že to nijak moc nejde. Řeším podobnou situaci tak, že studenti mají každý svůj virtuál s malým množstvím paměti s tím, že když něco zmrví, tak se jim virtuál během pár minut přeinstaluje.
    16.1.2020 10:24 lertimir | skóre: 64 | blog: Par_slov
    Rozbalit Rozbalit vše Re: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    Základní otázka je, proč mít kategorii 3? Jsou neschopní být v kategorii 4? Nelze jim úplně věřit?
    16.1.2020 11:24 MadCatX | skóre: 28 | blog: dev_urandom
    Rozbalit Rozbalit vše Re: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    Mně to smysl dává. Od našich fakultních adminů mám taky přidělená určitá extra práva, která mi umožňují manipulovat s některými uživatelskými účty a na některých strojích s Win můj účet funguje jako adminský. Řeší to politikami na ADčku. Bez centralizované správy by to na Linuxu mohlo jít vhodně nastaveným sudo, jak na Win fakt nevím.
    16.1.2020 11:19 Aleš Kapica | skóre: 52 | blog: kenyho_stesky | Ostrava
    Rozbalit Rozbalit vše Re: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    Trochu mi to připomíná něco jako školní projekt. Tedy umožnit studentům, aby v nějakém rozsahu měli admin práva, ale zároveň nezničili systém. Myslím si, že to nijak moc nejde.
    Jde. Je-li ten systém disklessový. Export z NFS je RO, takže i když má lokálního roota do něj nehrábne. A po restartu je (pro uživatele guest) ten stroj vždy opět ve výchozím stavu, jelikož má všechno v RAM.
    17.1.2020 15:30 jiwopene | skóre: 31 | blog: Od každého trochu…
    Rozbalit Rozbalit vše Re: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    Když je lokální root, může si se sítí dělat co chce a teoreticky by mohl dělat problémy i jiným počítačům.
    .sig virus 3.2_cz: Prosím, okopírujte tento text do vaší patičky.
    17.1.2020 16:41 Aleš Kapica | skóre: 52 | blog: kenyho_stesky | Ostrava
    Rozbalit Rozbalit vše Re: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    Může. Ale v podstatě by byl sám proto sobě, protože v takovém případě by odstřelil především sám sebe.
    18.1.2020 16:49 jiwopene | skóre: 31 | blog: Od každého trochu…
    Rozbalit Rozbalit vše Re: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    Na síti jeden nesmyslný ARP paket může udělat docela border.

    Zkuste si (na síti, kde to nebude vadit):
    nping -e $sitove_rozhrani --arp-reply --arp-sender-mac aa:bb:cc:dd:ee:ff --arp-sender-ip $ip_adresa 0.0.0.0 --count 0 --delay 50ms
    Pak si zkuste z jiného zařízení komunikovat s $ip_adresa. Obvykle na $ip_adresa nic nedojde.

    nping se obvykle nachází v balíku nmap.
    .sig virus 3.2_cz: Prosím, okopírujte tento text do vaší patičky.
    18.1.2020 21:12 Aleš Kapica | skóre: 52 | blog: kenyho_stesky | Ostrava
    Rozbalit Rozbalit vše Re: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    A? Chápete že ten člověk by byl sám proti sobě?
    17.1.2020 11:07 Alieno
    Rozbalit Rozbalit vše Re: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?
    Cus, IMHO si spis potrebujes ujasnit terminologii. Je user a je admin, vse mezi tim je jen urezavani/pridavani opravneni.

    (1) Je nutne aby uzivatel videl neco v OS? Proc ho nezavrit do kontejneru / VMka (lightdm tusim umi nabidnout lognuti do libvirt VMka, nestacilo by to?) (2) standartni uzivatel (3) standartni uzivatel s par sudo pravy (dle skupiny) (4) root user

    U bodu (3) si dovedu predstavit mapovani AD skupin na UX skupiny (a UX skupiny mapovat na sudo opravneni na stroji). Tzn. 2&3 jsou vlastne to stejne... Pokud nechces resit kontejner/VMka pro hosty, tak 1&2&3 jsou porad ten stejny bod (linux ma slusna opravneni by-default) -->> opravneni/pravomoce pak resis jen sudem (a jeho mapovanim na skupiny [a ty tahas/mapujes vuci AD]). Zaver:

    1) Uzivatel s opravnenim dle sudo + Mapovani na AD skupiny 2) Uzivatel s root pravy / ci samotny root

    snad pomuze
    "Nevim jiste co vsechno vim, ale vim ze nevim vse!"

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.