GNU/Linux >> Znalost Linux >  >> Linux

Jaký je rozdíl mezi přidáním uživatele do sudoers a kořenové skupiny?

I když se v otázce zmiňuje „Server Debian Linux“, je v současné době označen jak Debian, tak Ubuntu. Vzhledem k tomu, že informace o více operačních systémech se zdají být zajímavé, budu jen zcela ignorovat odkazy na konkrétní operační systémy a popíšu pouze nejrozšířenější standardy.

Skupiny jsou uvedeny v /etc/group a často existuje skupina s názvem "root". Tento soubor uvádí názvy skupin a jejich odpovídající číselné hodnoty „ID skupiny“ („GID“).

Kdokoli ve skupině s názvem "root" bude mít možnost číst, zapisovat nebo spouštět soubory, které mají "vlastníka skupiny" nastavené na stejné "ID skupiny" ("GID") jako skupina s názvem root. Pokud je tedy soubor ve vlastnictví "bin:root" a má oprávnění "rwxrwx---", pak uživatel ve skupině "root" bude moci soubor spustit díky střední sadě oprávnění.

Naproti tomu standard nastavený softwarem "sudo" je založen na konfiguraci uložené v souboru /etc/sudoers. V souboru /etc/sudoers jsou názvy skupin ve stylu Unixu zobrazeny za znakem procenta, jak je popsáno v manuálové stránce sudoers (ve formátu HTML):sekce o formátu souboru "sudoers". Takže odkaz na %sudoers v souboru /etc/sudoers odkazuje na skupinu s názvem "sudoers", která je v souboru /etc/groups.

Výchozí soubor /etc/sudoers neobsahuje odkaz na skupinu s názvem "sudoers". Všimněte si, že mám na mysli skutečný výchozí soubor /etc/sudoers, který si můžete prohlédnout v repozitáři sudo, kliknutím na „procházet“ v levém rámu, poté na „příklady“ a poté na „sudoers“.

Mnoho operačních systémů má však ve výchozím nastavení nainstalovaný vlastní soubor /etc/sudoers. Je tedy docela možné, že váš operační systém má speciální podporu pro skupinu s názvem sudoers. Chcete-li pochopit přesný dopad, podívejte se do souboru /etc/sudoers.

Pravděpodobně je pravděpodobné, že pokud má váš operační systém skupinu s názvem sudoers, pak osoba v této skupině bude moci zvýšit oprávnění pomocí příkazu sudo. (Doporučený způsob, jak to potvrdit, by zahrnoval kontrolu souboru /etc/sudoers.)

Když osoba zvýší svá oprávnění, možná bude muset zadat přijatelné ověření (heslo), nebo nemusí. I když ano, po autentizaci mohou mít po určitou dobu „token“, který jim umožní znovu povýšit, aniž by se museli znovu ověřovat (dokud tato doba neuplyne). Toto časové období je 5 minut, pokud /etc/sudoers neurčí něco jiného pomocí možnosti zvané "timeout".

Naproti tomu osoba v „kořenové“ skupině by nemusela zadávat heslo pro přístup k souboru, který vlastní „kořenová“ skupina.

Všimněte si, že skupina "sudoers" může být preferenční. Povýšením může být člověk schopen získat plný přístup superuživatele. (To je typické. Soubor /etc/sudoers může člověku umožnit přepnout na jiného uživatele nebo povýšit, ale s omezeními na to, jaký příkaz je zpočátku spuštěn. Obvykle se s výchozí/jednoduchou konfigurací osoba, která povýší, prostě zaplní elevation.) Když je uživatel autentizován jako úplný superuživatel, obecně nepodléhá oprávněním, která jsou založena na typickém vlastnictví souborového systému Unix (nastavení „vlastník“ a „vlastník skupiny“). Uživatel může stále podléhat dalším omezením založeným na oprávněních, jako jsou oprávnění vynucená způsobem připojení oddílu (což je důvod, proč software uživateli nedovolí zapisovat na disk CD-ROM pouze pro čtení), nebo další další důvody, proč soubor nemusí poskytovat oprávnění (například když je soubor uzamčen, což znamená, že se soubor již používá). Pokud soubor vlastní:

root:root

a má oprávnění:

rwx------

Potom uživatel nezíská oprávnění k souboru jen proto, že je ve skupině zvané "root". Takže „kořenová“ skupina může být pohodlnější (nepotřebují žádná hesla), i když může být omezenější. (Nebo může být skupina v /etc/sudoers omezenější v závislosti na konfiguraci /etc/sudoers.)


'Root group' jako v tom, co byste uvedli v /etc/group, se týká unixových oprávnění. Každý soubor má uživatelská, skupinová a 'jiná' oprávnění. Pokud je soubor nastaven tak, že jej mohou číst uživatelé v kořenovém adresáři skupiny, pak můžete uživateli udělit možnost číst tento soubor tak, že jej umístíte do kořenového adresáře skupiny. Samozřejmě pak tento uživatel může číst každý soubor, který má bit čtení nastavený pro kořen skupiny.

Soubor sudoers je o spouštění příkazů s efektivním ID jiných uživatelů. Máte podrobnější kontrolu nad tím, jaké příkazy může každý uživatel spouštět a jako kdo. Pokud tedy chcete, aby uživatel mohl spouštět pouze jeden konkrétní příkaz jako root, pak byste to nastavili v souboru sudoers.


Linux
  1. Jaký je rozdíl mezi zápisem do souboru a namapovanou pamětí?

  2. Jaký je rozdíl mezi strtok_r a strtok_s v C?

  3. Jak mohu přidat běžného uživatele do souboru sudoers?

  1. Jaký je rozdíl mezi volbami -g a -G v useradd

  2. Jaký je rozdíl mezi `fallocate --dig-holes` a `fallocate --punch-hole` v Linuxu?

  3. Jaký je rozdíl mezi unlink a rm?

  1. Rozdíl mezi .exrc a .vimrc?

  2. Funkce kořene uživatelské skupiny??

  3. Centos 7 - přidání uživatele do skupiny sudoers - stále není v souboru sudoers - proč?