Zabezpečení systému je hlavním problémem. Jako správce systému, jak jsem již uvedl dříve, je to váš primární zájem. Přidávání uživatelů do systému snižuje zabezpečení. Vaším úkolem je vytvořit použitelné, ale bezpečné prostředí pro vaše uživatele. Máte podnikový majetek, který je třeba chránit, systémy, které je třeba udržovat, a uživatele, které je třeba uspokojit. Jak dobře víte, mezi těmito třemi aspekty správy systému často dochází ke konfliktu. Jedním ze způsobů, jak uspokojit všechny tři, je přizpůsobit si uživatelská prostředí implementací a prosazením podnikového standardu. Najít rovnováhu mezi produktivitou uživatelů a zabezpečením systému není snadné. Nemohu napsat specifikace pro vaši konkrétní situaci, ale mohu vám ukázat, kde provést potřebné změny, abyste tak mohli učinit.
Tento článek popisuje přizpůsobení uživatelského prostředí pomocí souborů nalezených v /etc/skel a /etc/profile.d adresáře. Po nové instalaci systému najdete tři soubory pod /etc/skel: .bash_logout , .bash_profile a .bashrc . Když v systému vytvoříte nový uživatelský účet, tyto tři soubory se zkopírují do domovského adresáře uživatele a jsou ve vlastnictví uživatele. V případě, že nevíte, tzv. tečka soubory (ty pojmenované s tečkou (.) jsou ve standardních seznamech souborů skryté. Chcete-li je zobrazit, musíte použít -a přepněte pomocí příkazu ls.
-rw-r--r--. 1 root root 18 Mar 31 21:17 .bash_logout
-rw-r--r--. 1 root root 193 Mar 31 21:17 .bash_profile
-rw-r--r--. 1 root root 231 Mar 31 21:17 .bashrc Jak vidíte, tyto soubory vlastní root a může je upravovat nebo měnit pouze uživatel root.
.bash_profile
.bash_profile soubor je nejdůležitější ze tří uvedených souborů. Je to nejdůležitější, protože je to jediný „povinný“ soubor v seznamu. Spustí se pokaždé, když se uživatel přihlásí do systému, spustí .bashrc a definuje a exportuje proměnnou PATH. Jeho výchozí nastavení je jednoduché.
# .bash_profile
# Get the aliases and functions
if [ -f ~/.bashrc ]; then
. ~/.bashrc
fi
# User specific environment and startup programs
PATH=$PATH:$HOME/.local/bin:$HOME/bin
export PATH
.bash_profile lze také použít k definování vlastní výzvy shellu, definování vlastního editoru nebo čehokoli jiného, co chcete uživateli umístit do souboru.
[ Také by se vám mohlo líbit: tipy a triky pro proměnné prostředí Linuxu ]
.bashrc
Obsah souboru .bashrc ve výchozím nastavení volá pouze /etc/bashrc soubor. Soubor /etc/bashrc soubor obsahuje nastavení, která lze konfigurovat pro všechny uživatele.
# .bashrc
# Source global definitions
if [ -f /etc/bashrc ]; then
. /etc/bashrc
fi
# Uncomment the following line if you don't like systemctl's auto-paging feature:
# export SYSTEMD_PAGER=
# User specific aliases and functions Můžete také volat další soubory nakonfigurované pro určité skupiny uživatelů. Pokud je uživatel například členem finanční skupiny, můžete zavolat soubor a nastavit konkrétní sadu proměnných pro všechny uživatele ve finanční skupině.
/etc/bashrc a /etc/profile
Výpis pro /etc/bashrc je pro toto místo příliš dlouhé, ale můžete se na něj podívat a zjistit, co dělá. Soubor /etc/bashrc soubor odkazuje na /etc/profile soubor pro více proměnných prostředí a nastavení. Oba soubory jsou dodávány s následujícím varováním.
# It's NOT a good idea to change this file unless you know what you
# are doing. It's much better to create a custom.sh shell script in
# /etc/profile.d/ to make custom changes to your environment, as this
# will prevent the need for merging in future updates. Jak vidíte, přizpůsobení uživatelského prostředí není tak jednoduché, jak jste si mysleli.
/etc/profile.d
Pokud uvedete seznam souborů v /etc/profile.d , uvidíte následující:
-rw-r--r--. 1 root root 771 Mar 31 21:50 256term.csh
-rw-r--r--. 1 root root 841 Mar 31 21:50 256term.sh
-rw-r--r--. 1 root root 196 Mar 24 2017 colorgrep.csh
-rw-r--r--. 1 root root 201 Mar 24 2017 colorgrep.sh
-rw-r--r--. 1 root root 1741 Aug 6 2019 colorls.csh
-rw-r--r--. 1 root root 1606 Aug 6 2019 colorls.sh
-rw-r--r--. 1 root root 80 Mar 31 23:29 csh.local
-rw-r--r--. 1 root root 1706 Mar 31 21:50 lang.csh
-rw-r--r--. 1 root root 2703 Mar 31 21:50 lang.sh
-rw-r--r--. 1 root root 123 Jul 30 2015 less.csh
-rw-r--r--. 1 root root 121 Jul 30 2015 less.sh
-rw-r--r--. 1 root root 81 Mar 31 23:29 sh.local
-rw-r--r--. 1 root root 164 Jan 27 2014 which2.csh
-rw-r--r--. 1 root root 169 Jan 27 2014 which2.sh
Můžete vidět, že mnoho souborů je pro použití v prostředí C. Nejdůležitější soubor pro zaměření tohoto článku je sh.local . Obsah sh.local je uveden níže.
#Add any required envvar overrides to this file, it is sourced from /etc/profile Jak můžete vidět ze zprávy, chcete-li přepsat jakékoli aktuálně nakonfigurované položky envvar (proměnné prostředí) firemním standardem, vytvořte k tomu položky v tomto souboru.
Upozornění
Jak se uživatelé dozvídají více o jejich prostředí a věcech Google, přizpůsobí si své vlastní – často ke své škodě. Musíte najít rovnováhu mezi laissez-faire systémovým správcem a systémovým správcem těžkého diktátora. Chcete, aby uživatelé byli produktivní, ale měli omezenou kontrolu nad svým vlastním prostředím. Můj návrh, aby byly obě strany spokojené, je nastavit všechny standardní parametry podnikového uživatelského prostředí v /etc/bashrc a v /etc/profile.d/sh.local že nechcete být upravováni nebo měněni.
Uvědomte si, že /home/user/.bash_profile , .bashrc a .bash_logout jsou uživatelsky upravitelné soubory. Jediným způsobem, jak to obejít, je změnit oprávnění k těmto souborům pomocí skriptu uživatele root po vytvoření účtů. Jinými slovy, po vytvoření uživatelského účtu spusťte skript, abyste změnili oprávnění na /home/user/.bash* soubory do root: rw-r--r-- . Uživatel nebude moci měnit soubory.
Pokud chcete uzamknout prostředí změnou .bash* soubory do root vlastnictví, můžete vytvořit nový soubor v /etc/skel jako je .user soubor, který může uživatel upravovat a zahrnout jej do .bash_profile soubor.
[ Chcete se dozvědět více o zabezpečení? Podívejte se na kontrolní seznam zabezpečení IT a dodržování předpisů. ]
Sbalit
Přizpůsobení uživatelského prostředí může zvýšit zabezpečení systému a standardizovat to, co uživatelé vidí a jak interagují se systémem. Udělení shellového přístupu k produkčnímu systému má své vlastní důsledky, ale musíte svým uživatelům poskytnout prostředky, abyste maximalizovali jejich produktivitu a maximalizovali zabezpečení systému. Pokud najdete tuto dokonalou rovnováhu, napište to prosím do článku pro Enable Sysadmin. Podle mé vlastní zkušenosti má každý uživatel pocit, že je výjimkou z podnikového standardu a brzy budete mít spoustu výjimek a žádný podnikový standard.