প্রতি সপ্তাহে একদিন সুডোয়ার্স?

10

আমাদের প্রযোজনা রেডহ্যাট সার্ভারের সিসাদমিন হতে আমার বস স্বেচ্ছাসেবক হয়েছি। তিনি আমাকে rm -f *আগে যেমন দুর্ঘটনা এড়ানোর জন্য সুরক্ষা জোরদার করতে বলেছিলেন ।

এই মুহুর্তে, আমাদের কাছে 53 জন ব্যবহারকারী মেশিনে সুড-ইনিং আছেন এবং এটি একটি নিরীক্ষার দুঃস্বপ্ন। আমি ভাবছি যে কেবলমাত্র সপ্তাহের নির্দিষ্ট দিনে ব্যবহারকারীর অ্যাক্সেসের অনুমতি দেওয়া সম্ভব।

উদাহরণস্বরূপ, আমি কি 'জো' কেবলমাত্র মঙ্গলবার এবং বৃহস্পতিবার এবং শুধুমাত্র জেন 'র লগইন করতে পারি? etc/sudoersএটি অনুমোদিত কাস্টমাইজ করা যেতে পারে?

Sudoers ব্যবহার না করে এর চেয়ে ভাল উপায় আছে?

permissions security sudo

— ক্রিস
সূত্র

10

আমি ম্যানুয়াল পৃষ্ঠাটি না পড়ার পরামর্শ দেব।

— এক্স কেসিডি

3

না, আমি তাকে বলছি ম্যানুয়ালটি পড়বেন না কারণ আইএমএইচও পড়া অসম্ভব। ওপি পড়া সহজতর হলে সম্ভবত ম্যান পেজে একটি উত্তর খুঁজে পেতে পারে।

— ব্যবহারকারী 60684

10

আপনি এটি করতে পারেন, তবে মনে রাখবেন যে ব্যবহারকারীরা যে কোনও দিন তাদের রুট থাকায় কেবল সর্বকালের সুডো অ্যাক্সেস দিতে পারেন।

— নিক মাত্তিও

2

@ মার্ক0978 যদি আপনি এই সংস্থার নাম জানতেন তবে সম্ভবত আপনার মাথাটি হেসে মরে যাবেন। এটি একটি অপমানজনক যে এটি অনুমোদিত ... একটি প্রোডাকশন সার্ভারে।

— ক্রিস

3

এটি একদম নির্বোধ বলে মনে হচ্ছে। এর অর্থ হ'ল বিলকে তার বুধবার ভোরের সময় স্লটটি চালানোর জন্য অপেক্ষা করতে হবে rm -rf /।

— মাইকেল হ্যাম্পটন

21

sudo লিনাক্স বাক্সে থাকা সমস্ত কিছুর মতো PAM এর মাধ্যমে তার প্রমাণীকরণ করে।

সুতরাং আপনি এটি করতে সক্ষম হতে হবে pam_time.so।

কমপক্ষে ডেবিয়ানে ডিফল্টরূপে, সেই মডিউল সক্ষম হয় না। আপনার দেখতে এমন একটি লাইন যুক্ত করা দরকার:

account    requisite  pam_time.so

হয় /etc/pam.d/sudoকেবলমাত্র সুডোর জন্য সক্ষম করতে বা /etc/pam.d/common-account(পাম-লেখক-আপডেট ব্লকের পরে) সিস্টেমে সমস্ত প্রোগ্রাম সক্ষম করতে।

তারপরে /etc/security/time.confআপনার সীমাবদ্ধতাগুলি সেট করতে সম্পাদনা করুন । পরিষেবার নামটি হওয়া উচিত sudo। উদাহরণস্বরূপ, ফ্রেডকে sudoকেবল শুক্রবার বিকাল ৩ টা থেকে সন্ধ্যা between টার মধ্যে ব্যবহারের অনুমতি দেওয়া :

sudo;*;fred;Fr1500-1700

(দ্রষ্টব্য: আমি এটি পরীক্ষা করিনি))

সম্পাদনা: পরিষ্কার হওয়ার জন্য, আমি অন্য উত্তর এবং বিভিন্ন মন্তব্যকারীদের সাথে একমত, আপনার কাছে অনেক লোক অনেক বেশি কমান্ড মূল হিসাবে চালাচ্ছেন বলে মনে হচ্ছে এবং আপনার এটি ঠিক করা দরকার। এবং অবশ্যই তারা রুট হয়ে উঠতে পারলে তারা পাম কনফিগ সম্পাদনা করতে পারে ...

— derobert
সূত্র

প্যাম বাস্তবায়ন করা জটিল বলে মনে হচ্ছে তবে কে এবং কখন কী করবে তার উপর কঠোর নিয়ন্ত্রণের অনুমতি দেয়। গৃহীত হয়েছে এবং ভোট দিয়েছে। ধন্যবাদ.

— ক্রিস

2

আমি তাকে উত্সাহিত করা সঠিক উত্তর বলে মনে করি না, আইএমএও এই প্রশ্নের সঠিক উত্তর হ'ল "

— ছুটে চলুন

এটি কি আসলে কাজ করে? আমি পাম_টাইম.এস ব্যবহার করে "লগইন", "এসএসএস", "জিডিএম", "সু" এর মতো বিভিন্ন লগইন প্রক্রিয়া নিয়ন্ত্রণ করতে সক্ষম হয়েছি তবে এটি সুডোর পক্ষে কাজ করছে না। আমি অফিস সময়ের বাইরে যে কোনও সাধারণ প্রক্রিয়া দ্বারা কাউকে রুট হয়ে যাওয়া রোধ করতে চাই। (আমি বুঝতে পেরেছি এটি বুলেটপ্রুফ নয়, কেউ আগে থেকে একটি সেটলয়েড শেল বা পিছনের দিকের গৃহ প্রস্তুত করতে পারে, তবে আমি আশা করি না যে এই পরিস্থিতিতে

— স্যাম ওয়াটকিন্স

20

আমি প্রশ্ন করব যে কেন 53 জন ব্যবহারকারীকে প্রতিদিন কাজ করতে সুডো দরকার - বেশিরভাগ ব্যবহারকারীর (এমনকি বিকাশকারীদের) জন্যও সুডো একটি বিরল ব্যতিক্রম হওয়া উচিত, এমন কোনও রুটিন জিনিস নয় যে কেউ অনিয়মিতভাবে sudo rm -rf *কমান্ড চালায় run

লোকদের তাদের কাজ শেষ করার জন্য প্রয়োজনীয় ফাইলগুলিতে অ্যাক্সেস দেওয়ার জন্য, গ্রুপের অনুমতিগুলি (বা আরও উন্নত এসিএল এর) ব্যবহার করতে পারেন, সম্ভবত কিছু সেটুয়েড বা সুডো স্ক্রিপ্ট বা বাইনারি দিয়ে তাদের পুনরায় চালু করার মতো জিনিসগুলি করতে দেয়? (মনে রাখবেন যে কোনও সুরক্ষিত সেটুইড / সুডো স্ক্রিপ্ট লেখা শক্ত, সুতরাং সৎ লোকদের সৎ রাখাই আরও বেশি))

এমনকি আপনি যদি সুডো অ্যাক্সেসের সপ্তাহে একদিন লোককে সীমাবদ্ধ রাখতে পারেন তবে এখনও এক সপ্তাহের মধ্যে সুডো অ্যাক্সেস পাওয়া 53 জন লোক তাই এটি আপনার মূল সমস্যার সাথে সত্যই সহায়তা করে না।

এই বিষয়টির জন্য, আমি প্রশ্ন করছি যে অনেক ব্যবহারকারীর একটি প্রোডাকশন সার্ভারে আদৌ অ্যাক্সেস দরকার কিনা - আপনি লগ বা কোনও উত্পাদন-নন মেশিনে তাদের যে কোনও ডেটা / ফাইলগুলি প্রেরণ করতে পারবেন?

— জনি
সূত্র

অথবা আপনি যে লগ ফাইলগুলির প্রয়োজন হতে পারে তার কোনও প্রকারের অ্যাক্সেস প্রকাশ করতে পারেন, একটি ক্রুট জেলযুক্ত এসএফটিপি ধরণের সেটআপ।

— বোটকোডার

@ জোহনি এই হোস্টে বেশিরভাগ কাজ শেল স্ক্রিপ্ট তৈরি / সম্পাদনা এবং চালনা করছে। ব্যবহারকারীদের অনুমতি দেওয়া উচিত নয় vi/cp/mv/rm। শুধু cdএবং more। আর কিছু না.

— ক্রিস

@ জোহনি যদি আমি কোনও ডিরেক্টরিতে এসিএল সেট করি, তবে সেই ডিরেক্টরিতে থাকা ফাইলগুলি কি এসিএলের বৈশিষ্ট্যগুলি ডিফল্টরূপে উত্তরাধিকার সূত্রে প্রাপ্ত হয়?

— ক্রিস

@ ক্রিস হ্যাঁ, আপনি যদি ডিরেক্টরিটির জন্য ডিফল্ট এসিএল সেট করেন।

— মাইকেল হ্যাম্পটন

এটি একটি মন্তব্য হওয়া উচিত, উত্তর নয়। ওপির দৃশ্যটি বোধগম্য হোক না কেন, কিছু লোকের জন্য নির্দিষ্ট সময়ে "সুডো" লকডাউন করার মতো অন্যান্য ব্যক্তির একই রকম প্রয়োজন।

— স্যাম ওয়াটকিন্স

7

সবচেয়ে সহজ উপায় হ'ল আপনার কনফিগারেশনের জন্য Suders.d (অন্তর্ভুক্তির মাধ্যমে) ব্যবহার করা। তারপরে আপনার ক্রোন জব থাকতে পারে যা প্রতিটি ব্যবহারকারীর জন্য আপনার ইচ্ছামত সময়ের জন্য সেই ডিরেক্টরিতে নিয়ম রাখতে পারে।

# অন্তর্ভুক্তির নির্দেশিকাটি / ইত্যাদি / সুডোয়ারগুলিতে একটি sudo.d ডিরেক্টরি তৈরি করতে ব্যবহার করা যেতে পারে যা আপনি sudoers বিধিগুলিকে আপনার নিয়মের অংশ হিসাবে ফেলে দিতে পারেন .. উদাহরণস্বরূপ, প্রদত্ত:

# অন্তর্ভুক্ত /etc/sudoers.d

sudo প্রতিটি ফাইল /etc/sudoers.d এ পড়বে, ফাইলের নাম '~' এ শেষ হয় বা একটি 'থাকে' এড়িয়ে যায়। প্যাকেজ পরিচালক বা সম্পাদক অস্থায়ী / ব্যাকআপ ফাইলগুলির সাথে সমস্যা সৃষ্টি না করার জন্য চরিত্র ফাইলগুলি সাজানো লেজিকাল ক্রমে পার্স করা হয়। এটি হল, /etc/sudoers.d/01_ প্রথম প্রথম /etc/sudoers.d/10_second এর আগে পার্স করা হবে। সচেতন থাকুন যেহেতু বাছাইটি সংক্ষিপ্ত, সংখ্যাসূচক নয়, /etc/sudoers.d/1_Wooops /etc/sudoers.d/10_second এর পরে লোড হবে। ফাইলের নামগুলিতে অবিচ্ছিন্ন সংখ্যক নেতৃস্থানীয় জিরো ব্যবহার করা এ জাতীয় সমস্যা এড়াতে ব্যবহার করা যেতে পারে।

নোট করুন যে # অন্তর্ভুক্তের মাধ্যমে অন্তর্ভুক্ত করা ফাইলগুলির বিপরীতে, ভিজুডো একটি # অন্তর্ভুক্ত ডিরেক্টরিতে ফাইলগুলি সম্পাদনা করবে না যতক্ষণ না তাদের একটিতে সিনট্যাক্স ত্রুটি থাকে। ফাইলগুলি সরাসরি সম্পাদনা করতে flagফ ফ্ল্যাগের সাথে ভিজুডো চালানো এখনও সম্ভব।

আপনি যখন জোতে অ্যাক্সেস পেতে চান তখন /etc/sudoers.d/joe উপস্থিত থাকত এবং অ্যাক্সেস সরিয়ে নিতে আপনি কেবল ফাইলটি সরিয়ে ফেলতে পারেন।

— jamespfinn
সূত্র

1

আমার ব্যবহারকারীর নির্দিষ্ট sudoers ফাইলগুলিতে আমার একটি সমস্যা ছিল: 'sudoers.user1' ইত্যাদি You আপনি 'and' এবং 'সম্পর্কে মন্তব্য করেন' ' চরিত্রগুলি আমার সমস্যার সমাধান করেছে। আমি ম্যানুয়ালটি পড়ে খুব খুশি! ধন্যবাদ.

— হান

0

আপনি কোনও ব্যবহারকারীকে একটি সুডো গ্রুপে রাখার জন্য একটি ক্রন্টব্যাব যুক্ত করতে পারেন এবং তারপরে সেই ব্যবহারকারীকে বাইরে নিয়ে যাওয়ার জন্য দ্বিতীয় ক্রন্টব।

— PolarisUser
সূত্র