Sudo -u <user> <cmd> gegen Sudoedit </cmd></user>

486
C-3Pi-O

Ich habe im Internet gelesen, dass Sie Sudoedit anstelle von Sudo Vim verwenden müssen. Ich verstehe, warum dies verwendet werden sollte und sollte, damit Sie nicht einfach root-user-Dateien bearbeiten können.

Ich möchte jedoch einen nologin-Benutzer (Dienstkonto, das eine einzelne Anwendung ausführt) verwalten. Nennen wir ihn "nologinuser" mit meinem eigenen Nicht-Root- Konto. Dafür brauche ich die richtigen Rechte in der sudoers-Datei.

Ich war mit zwei Linux-Systemmanagern im Gespräch und beide sind anderer Meinung.

Linux-Administrator A sagt: Sie sollten für jede Konfigurationsdatei eine Sudoedit-Regel und für jeden Befehl eine Sudo-Regel erstellen.

Linux-Administrator B sagt: Erstellen Sie einfach eine Sudo-Regel, mit der Sie als Benutzer mit "sudo -u nologinuser *" alles lesen / schreiben / ausführen können.

Persönlich stimme ich mit admin B überein, da Sie mit "sudo -u nologinuser" jeden Befehl nur als diesen Benutzer ausführen können. Durch diesen Befehl haben Sie diesem Benutzer auch seine Rechte geerbt, weil Sie ihn als diesen Benutzer ausführen. Dies würde auch keine Sicherheitsprobleme bei der Möglichkeit zum Ändern von Root-Benutzerdateien verursachen, da nichts als Root ausgeführt wird und sehr flexibel ist.

Wer hat Recht oder gibt es eine dritte bessere Option? Wer kann mir sagen, was die beste Praxis ist. Was ist der beste Weg, um einen Nologin-Anwendungsbenutzer als nicht root zu verwalten?

Vielen Dank.

1

1 Antwort auf die Frage

2
TOOGAM

  • Der Plan von Linux-Admin A ist etwas restriktiver und zwingt Sie dazu, ein wenig darüber nachzudenken, auf welche Befehle und Dateien dieser Zugriff erforderlich ist. Das Ergebnis wird eine Reihe zulässiger Befehle und Dokumentationen sein, die Konfigurationszeilen in Ihrer sudoers-Datei enthalten. Diese Konfigurationszeilen sind im Wesentlichen eine Dokumentation.
    • Vorteile für diesen Ansatz: Das Prinzip der geringsten Privilegien lässt darauf schließen, dass die Minimierung solcher Berechtigungen besser ist. Außerdem haben Sie am Ende eine ausführlichere Dokumentation. Diese Dinge können schöner sein und für die Sicherheit vorteilhaft sein.
  • Der Plan von Linux-Admin B ist einfacher. Wenn Sie keine Angst vor den Konsequenzen haben, wenn Sie "sudo -u nologinuser sh" ausführen, besteht möglicherweise keine Reihe von Sicherheitsbedenken, vor denen Sie Angst haben müssen.
    • Vorteile für diesen Ansatz: Einfacher ist das Audit einfacher und verständlicher. Diese Dinge können schöner sein und für die Sicherheit vorteilhaft sein.

Der Hauptnachteil des Plans von Linux admin A besteht darin, dass dies mehr Zeit / Aufwand erfordert, insbesondere für die Einrichtung. Wenn Sie die genauen Details nicht kennen, müssen Sie diese Details herausfinden. Dies kann etwas mehr Zeit / Aufwand oder eine lächerlich unmögliche Zeit / Anstrengung erfordern. Sie können entscheiden, dass diese Kosten den Nutzen nicht wert sind.

Zusammenfassend: Beide Perspektiven haben einige Vorteile. Was Sie mehr schätzen, hängt von dem Verantwortlichen ab (was sich anhört, mögen Sie sein). In solchen Fällen sind individuelle Entscheidungen in solchen Szenarien ein wesentlicher Grund dafür, dass vertrauenswürdige Personen in die Lage versetzt werden, solche Entscheidungen zu treffen. (Diese Art von Szenarien kann auch der Grund sein, warum die Computerprogrammierer in dieser Welt von Experten noch nicht in der Lage waren, mehr Entwurfsprozesse zu automatisieren als sie.) Sie müssen also entscheiden (und bereit sein, die Verantwortung für das zu übernehmen, was Sie sind) verantwortlich vorbei).

Da Sie nach einer dritten Option gefragt haben, können Sie Folgendes tun: Sie verwenden eine benutzerdefinierte Website, auf der Sie sich über HTTPS anmelden, und dann aktualisiert die Automatisierung nur die gewünschten Dateien oder führt nur die gewünschten Anwendungen aus, anstatt "sudo" manuell ausführen zu müssen. (oder die Sudoedit-Variante) in einer Befehlszeile. Das kann auch angemessen sicher sein, wenn es richtig gemacht wird.

Da es sich bei dieser Frage um höhere Sicherheitsaspekte handelt, sind die Fragen eher für ServerFault.com (oder möglicherweise für Information Security oder) als für SuperUser.com geeignet. Da beide Perspektiven durchaus einen Vorzug haben, gibt es keine, die absolut richtig oder falsch ist. Dies führt dazu, dass dies ein wenig mehr meinungsbasiert ist und nicht die beste Art von Frage für eine dieser Websites.

Verwandte Probleme