Dotaz: Pokročilá správa OS - více úrovní adminů, hierarchie adminů?

[Lubos]

Dobrý den,

prosím vás, většina nejpoužívanějších počítačových operačních systémů (různá distra a verze Linuxu, různé verze Windowsu, ...) rozeznává 3 typy uživatelů: a.) Root (v Linuxu)/Administrátor (ve Windowsu), b.) Běžný uživatel a c.) Host.

Potřebuji v systémech Linux (nejčastěji Ubuntu a Debian) a totéž stejné ale i v systémech Windows XP (proto prosím nemazat tento příspěvek jako Windowsový off-topic ) vytvořit a nastavit něco jako více úrovní adminů, něco jako hierarchické úrovně adminů, kdy budou:
1.) Host (stačí klasicky jeden) bez vlastního účtu,
2.) Běžní uživatelé,
3.) Admini kteří budou moci spravovat systém, měnit nastavení systému, instalovat programy, připojovat zařízení, ...
4.) ale jeden admin jim bude nadřazený a nadřazenému adminovi nebude moci vůbec nikdo jiný ani žádný jiný admin ani prohlížet soubory ani měnit heslo ani mazat účet ...ani nic jiného a účet nadřazeného admina bude pro všechny včetně ostatních adminů úplně nedotknutelný?
(A tedy pochopitelně vůbec nikdo ani žádný jiný uživatel ani žádný jiný admin ani nikdo nebude moci vytvořit ani žádného dalšího takového nadřazeného admina aby nemohl toto opatření obejít.)

Moc to potřebuji pro potřeby počítačů sdílených mezi více uživateli, běžících na systémech Linux (nejčastěji Ubuntu a Debian) a Windows (nejčastěji XP) a některé na dualbootu Windows+Linux, kde potřebuji v Linuxu i ve Windowsu dát některým uživatelům tyto rozdílné úrovně oprávnění.

Děkuji moc.

Odpovědi

[Max]

Nejde, minimálně né ve windows. Jakmile musíš dělat zásahy do systému, musíš mít admina a admin může všechno.
V linuxu si nějaké věci můžeš ošetřit, ale jde to těžko. A jakmile někomu povolíš instalovat balíčky, tak se může v klidu stát i rootem a ty tomu nezabráníš.
Přemýšlíš nad hodně špatným návrhem. Pokud chceš někomu dát roota, tak ho pusť do kontejneru, nebo mu vytvoř VM, kde si může hrát.
Zdar Max

[j]

Ale jo, jde to, ale je to neskutecna vopicarna nastavit ... Sak se podivej, i zakladni widle maj hromadu skupin ... krome adminu tam mas backup operators, event log readers, power users, ... proste je toho hromada. A ma to nejak (vetsinu nepouzitelne) prednastaveny prava.

Tyhle vopicarny se totiz vymejslej v korporatech a kdyz jim M$ chce prodavat, musi plnit jejich mokry sny ;D.

2Lubos: ve tvym konkretnim pripade:

1) na tuxovi i widlich je znam user "host", kterymu se proste necha pristup bez hesla, a i by defalt by mel mit minimalni prava (na widlich bude tak nejak na urovni beznyho usera, ale rozhodne si nic nenainstaluje)

2) beznej user je beznej user ...

3) admin ... je ... LOKALNI admin (jinak receno beznej user, ve skupine administrators)

4) a ten superdmin je aspon ve widlosvete domenovej administrator, kterej muze vyhodit kohokoli z tech adminu, ale oni nemuzou vyhodit jeho.

V linuxovym svete to lze dosahnout taky, navic muzes i linuxovej stroj zaradit do widlodomeny. Tady pak akorat musis zajistit to, ze root === ten domain admin. Ostatni "adminy" das do nejaky nonroot skupiny (nekdy byva skupina wheel) ktery nastavis prislusny prava.

Jinak receno, potrebujes pro to zaridit centralni spravu, a protoze widle, tak jednoznacne AD. A protoze to nevis, tak si to nekde objednej, a pocitej ze to nastavit a zprovoznit rozhodne nebude stat 5 cifer, ale vic (v zavislosti na mnoztvi stroju, uzivatelu a dalsich pozadovanych vecech). Navic kdyz dodavateli sdelis tu radnostnou novinu, ze to chces confit pro XP, nejspis ti cenu zdesetinasobi.

[Max]

Tazatel chce povolit instalaci sw pro ty adminy. Jakmile mohou dělat takové zásahy do systému, tak mohou cokoli.
Ano, Windows má nějaké skupiny, ale podle mého nenaplní vše, co tazatel chce. A pokud jde o doménového uživatele, tak toho s lokálním adminem mohu od toho konkrétního PC odříznout taky.

Tazatel jde na to podle mně špatně, jak už jsem psal (a jiní také), řešením je použít kontejnery, nebo plnou virtualizaci, nebo boot po síti z nějakého ro image a mít tak konzistentní image, do kterého nemohou zasahovat, a změny ukládat bokem, nebo neukládat a mít je jen v ram.
Zdar Max

[j]

Pokud se bavime o tom co muzu nebo nemuzu, pokud mam k PC pristup, tak nepotrebuju vedet zadnej ucet a muzu vsechno (a je jedno jestli widle nebo tux). Bonusem pokud jsou ucty lokalni, tak si hesla rovnou prectu, z XPcek behem tak 10s z cehoz se 9s spotrebuje na boot.

Nehlede na to ze si muzes vytvorit zcela svoji vlastni skupinu, ktera bude opravnena trebas jen instalovat aplikace a nic jinyho. Jenom nevim, proc by zrovna aplikace mel instalovat nekdo, paac ty se instalujou samy (teda aspon vetsina, existujou takovy kokotiny, ktery se bez hodiny straveny oklikavanim picovin neobejdou, trebas rovnou widle samotny ... ).

A jiste, neco takovyho bude neskutecnej vupruz, protoze budes s kazdou dalsi aplikaci neustale narazet na to, ze nekam nemas prava. V principu by totiz trebas ten, kdo appku instaluje nemel mit pravo ji spustit ... zkus si tohle aplikovat ve widlosvete.

[Max]

10s heslo znát nebudeš. Jasně, triviální hesla lehce uhádneš s Ophcrackem a dalšíma děckýma hračkama, ale pořád záleží na síle hesla. Když ti nakombinuju desetimístný heslo se vším všudy, tak to nedáš.
Zdar Max

[xkucf03]

Řada věcí se dneska řeší přes D-Bus a ten má vlastní systém oprávnění. Představ si to jako objektový systém, kde máš různé objekty (reprezentující HW zařízení nebo systémové prostředky), na nich máš metody (a vlastnosti a signály) a pomocí politik (viz adresář /etc/dbus-1/system.d/) můžeš uživatelům nastavovat oprávnění volat jednotlivé metody. Takže tam máš mnohem větší granularitu než jen host-uživatel-root.

D-Bus má dvě sběrnice (teoreticky jich může být víc, ale to se moc nepoužívá). Jedna je pro uživatelskou relaci (Session Bus), tam najdeš objekty a metody desktopových aplikací jako je ovládání hudebního přehrávače atd. A druhá je systémová (System Bus), kde zjistíš třeba stav baterky (notebooku, UPS, myši…), můžeš ovládat disky, síť atd.

Projdi si tu systémovou sběrnici (GUI: qdbusviewer, d-feet, CLI: qdbus) a podívej se, jestli tam jsou akce, které potřebuješ těm správcům povolit. A podle toho si uprav ty politiky (nebo zjistíš, že už ta práva mají…).

Nebo je tu klasický postup: sudo – tím povolíš vybraným uživatelům spouštět vybrané programy pod jinými uživateli (typicky pod rootem).

Když ti nebudou stačit možnosti poskytované tvojí distribucí, tak si můžeš napsat vlastní program, který se bude volat přes sudo, nebo vlastní D-Bus službu (což překvapivě není až tak obtížné – zkoušel jsem si to v rámci cadMousePro), pomocí které vystavíš objekty/metody a zpřístupníš je vybraným uživatelům.

A pak jsou případy, kdy je řešení nikoli technické, ale spíš společenské – donutit ty lidi, aby se chovali slušně a nezneužívali svoje pravomoci (a mít možnost prokázat, zpětně odhalit, pokud je zneužijí). Tady můžeš nasadit auditd, dát lidem možnost přepnout se na roota nebo libovolné sudo, ale logovat všechny jejich akce na vzdálený server (ke kterému máš přístup jen ty a oni z něj ty logy nemohou smazat). Alternativně lze mít nějaký terminál, přes který budou servery spravovat, a který bude všechnu jejich činnost nahrávat.

[lertimir]

Trochu mi to připomíná něco jako školní projekt. Tedy umožnit studentům, aby v nějakém rozsahu měli admin práva, ale zároveň nezničili systém. Myslím si, že to nijak moc nejde. Řeším podobnou situaci tak, že studenti mají každý svůj virtuál s malým množstvím paměti s tím, že když něco zmrví, tak se jim virtuál během pár minut přeinstaluje.

[lertimir]

Základní otázka je, proč mít kategorii 3? Jsou neschopní být v kategorii 4? Nelze jim úplně věřit?

[MadCatX]

Mně to smysl dává. Od našich fakultních adminů mám taky přidělená určitá extra práva, která mi umožňují manipulovat s některými uživatelskými účty a na některých strojích s Win můj účet funguje jako adminský. Řeší to politikami na ADčku. Bez centralizované správy by to na Linuxu mohlo jít vhodně nastaveným sudo, jak na Win fakt nevím.

[Aleš Kapica]

Trochu mi to připomíná něco jako školní projekt. Tedy umožnit studentům, aby v nějakém rozsahu měli admin práva, ale zároveň nezničili systém. Myslím si, že to nijak moc nejde.

Jde. Je-li ten systém disklessový. Export z NFS je RO, takže i když má lokálního roota do něj nehrábne. A po restartu je (pro uživatele guest) ten stroj vždy opět ve výchozím stavu, jelikož má všechno v RAM.

[jiwopene]

Když je lokální root, může si se sítí dělat co chce a teoreticky by mohl dělat problémy i jiným počítačům.

[Aleš Kapica]

Může. Ale v podstatě by byl sám proto sobě, protože v takovém případě by odstřelil především sám sebe.

[jiwopene]

Na síti jeden nesmyslný ARP paket může udělat docela border.

Zkuste si (na síti, kde to nebude vadit):

nping -e $sitove_rozhrani --arp-reply --arp-sender-mac aa:bb:cc:dd:ee:ff --arp-sender-ip $ip_adresa 0.0.0.0 --count 0 --delay 50ms

Pak si zkuste z jiného zařízení komunikovat s $ip_adresa. Obvykle na $ip_adresa nic nedojde.

nping se obvykle nachází v balíku nmap.

[Aleš Kapica]

A? Chápete že ten člověk by byl sám proti sobě?

[Alieno]

Cus, IMHO si spis potrebujes ujasnit terminologii. Je user a je admin, vse mezi tim je jen urezavani/pridavani opravneni.

(1) Je nutne aby uzivatel videl neco v OS? Proc ho nezavrit do kontejneru / VMka (lightdm tusim umi nabidnout lognuti do libvirt VMka, nestacilo by to?) (2) standartni uzivatel (3) standartni uzivatel s par sudo pravy (dle skupiny) (4) root user

U bodu (3) si dovedu predstavit mapovani AD skupin na UX skupiny (a UX skupiny mapovat na sudo opravneni na stroji). Tzn. 2&3 jsou vlastne to stejne... Pokud nechces resit kontejner/VMka pro hosty, tak 1&2&3 jsou porad ten stejny bod (linux ma slusna opravneni by-default) -->> opravneni/pravomoce pak resis jen sudem (a jeho mapovanim na skupiny [a ty tahas/mapujes vuci AD]). Zaver:

1) Uzivatel s opravnenim dle sudo + Mapovani na AD skupiny 2) Uzivatel s root pravy / ci samotny root

snad pomuze