Linux – plně oddělené dva účty bez instalace samostatných operačních systémů?

Naše třída konečně instaluje Mint Linux na naše stroje. Problém je v tom, že náš učitel se bojí, že budeme hrát válečné hry proti dvěma třídám, které používají počítače. Jeho řešením je instalace dvou samostatných operačních systémů; vzhledem k tomu, že budeme potřebovat schopnost sudo, ale nechce, abychom byli schopni rozbít OS pro druhou osobu (buď hraním válečných her nebo chybováním). Jeho řešením je nainstalovat dva samostatné operační systémy, ale tento nápad se mi nelíbí z několika důvodů. Za prvé, máme MBR, takže to omezuje počet oddílů; a za druhé, je to nepříjemné, protože oba jsou Mint Linux, takže často vybereme ten špatný. Ví někdo o způsobu, jak oddělit dva operační systémy, aby to jeden člověk nemohl pokazit druhému? Méně se obávám, že budeme hrát válečné hry, protože bychom to mohli udělat s oddělenými oddíly a protože je to méně důležité. Máte někdo nějaké nápady?

Přemýšlel jsem o omezení výkonu, který má uživatel, a zároveň mu umožnit používat root; to však může později způsobit problémy. Učitel chce samozřejmě ovládat účet root.

Přijatá odpověď:

Existují dvě zřejmé odpovědi:

1. Dejte každému uživateli jeho vlastní obraz virtuálního stroje. Uvnitř virtuálního počítače má uživatel root přístup; mimo virtuální stroj, vůbec žádný. Pokud to váš hardware podporuje, kvm bude na to fungovat docela dobře. A obrazy virtuálních strojů jsou jen soubory, takže je lze snadno kopírovat atd. Můžete použít úložiště typu copy-on-write, které ušetří místo na disku, pokud vás to znepokojuje.
2. Používejte novou podporu jmenných prostorů v Linuxu 3.8, která ve skutečnosti umožňuje každému na počítači mít root ve své vlastní oblasti. Záleží hlavně na tom, na co root potřebuješ. (I když ve skutečnosti můžete provozovat celou samostatnou distribuci uvnitř jmenného prostoru, jen musí sdílet stejné jádro).

Na rozdíl od samostatných oddílů (které jsou velmi pro roota je snadné si s ním pohrát – stačí jej připojit), výše uvedené dva jsou ve skutečnosti bezpečné (dobře, máte fyzický přístup k počítači, takže tyto chyby zabezpečení platí bez ohledu na to).

Existují také bolestivější věci, jako jsou schopnosti a SELinux, v závislosti na tom, proč potřebujete přístup root (sudo). Nebo samozřejmě, pokud potřebujete pouze jeden nebo dva příkazy, sudo má vestavěnou podporu pro omezení toho, které příkazy lze spouštět.

Související:Linux – služba systemd se spustí ručně, ale ne při startu?

upravit: Další informace o jmenných prostorech naleznete v části Jmenné prostory v provozu, část 1:přehled jmenných prostorů , která má celkem šest dílů. Jmenné prostory se do Linuxu dostávaly pomalu, počínaje před několika lety. Část 5 a 6 pokrývá poslední část přidanou ve verzi 3.8, která umožňuje libovolnému náhodnému uživateli mít root ve svém vlastním jmenném prostoru.