Dotaz: přidělení root práv

[czjaromir]

Tak si říkám co jsem nepochopil. Mám debian 9 na serveru a přidal jsem uživatele do skupiny root. Tento uživatel má uid=1000(uzivatel) gid=0(root) groups=0(root) přesto nemá možnost cokoli jako třeba instalace a odinstalace sw. Příkaz sudo je doménou buntu a chtěl bych to tak nechat. Máte někdo zkušenost s řešením pro více správců. Děkuji

Odpovědi

[X]

Normalne se pouziva sudo.

[czjaromir]

No díval jsem se a implicitně tam ta skupina existuje tak asi nic jiného nezbude.

[X]

Je to prehlednejsi a muzes omezit uzivatele na konkretni operaci, program:

spravce ALL=(root) /usr/bin/aptitude update, /usr/bin/aptitude safe-upgrade

Jeste jsem se setkal s implementaci grsec..

[czjaromir]

Na server přistupuji jen přes ssh a proto asi není dost dobře možné abych jel nějaké další programy, jako třeba na desktopu, přes root práva. Momentálně se mi zdá že to spíš zdržuje. Ale je to funkční.

[X]

Myslel jsem omezeni pro konzolove programy a binarky, sudo funguje stejne dobre i bez desktopu. Kdyz das uzivateli UID 0 tak to mu muzes rovnou dat roota..

[Andrej]

Za normálních okolností se nikdy nepřidávají uživatelé do skupiny root. To s sebou nese spoustu těžko předvídatelných bezpečnostních rizik. (Ten uživatel ve skupině root se nikdy nehlásí do GUI session … že ne?!)

V /etc/sudoers je ta vyvolená skupina wheel.

A sudo je standardní řešení, které nijak nesouvisí s *buntu.

Jinak su bude fungovat, pokud má root nastavené heslo, ale i tak je sudo lepší řešení, protože nabádá uživatele nepracovat s oprávněními roota déle, než je nutné. sudo su je samozřejmě výjimka, ale dá se případně omezit / zakázat.

[czjaromir]

Uživatel se nemůže přihlásit do GUI session protože tam není, je to server. Jako druhý správce potřebuje mít hlavně root přístup. Jediná věc je že mám oblíbená hesla i když docela složitá a nechci je příliš ventilovat.

[X]

K tomu mas prave to sudo ktere se pta na uzivatelske heslo a ne na heslo roota. Je uplne jedno jestli je to terminal, SSH konzole, nebo GUI.

[Max]

Toto se nikdy, nikdy nikdy nedělá. Root je jen jeden, ve skupině root nikdo nesmí být.
Pokud chceš instalovat aplikace, nebo dělat správcovské zásahy, tak k tomu slouží "sudo".
Uživatel tedy musí být ve skupině "wheel". Pokud v ní je, tak mu bude fungovat pro instalaci aplikací "sudo apt install aplikace", kam se zadá heslo toho uživatele.
Pokud bych chtěl full bash root, tak zadám "sudo /bin/bash" a otevře se mi bash, kde bude root a budu moci např. instalovat app bez sudo, tj "apt install aplikace"
Zdar Max

[rastos]

Nebol by som až taký kategorický s vyhláseniami typu "to se nikdy nedelá". Napr. člen skupiny root môže čítať niektoré súbory vo /var/log alebo /etc/ufsw. Podľa mňa si treba najprv ujasniť, čo chceš tomu užívateľovi dovoliť. Potom sa uvidí, či treba niečomu zmeniť práva, alebo ho zaradiť do nejakej skupiny, alebo mu nastaviť sudo.