Regra de dois homens para comandos sudo

Question

Eu era o navegador de perguntas populares no stackexchange e encontrei esta resposta para uma pergunta: link

O que me interessou foi a "regra dos dois homens", ou mais especificamente, como aplicá-la a um sistema Linux (neste caso, o Ubuntu).

Foi destacado que você não pode impedir que um usuário root faça nada. Você só pode impedi-lo.

Para evitar isso, digamos que eu queira que cada usuário não raiz exija não apenas uma senha para executar sudo , mas a confirmação de outro usuário no sistema que também tenha a mesma restrição.

Isso é possível fazer?

    

Answer 1

Isso não responde à sua pergunta exata, mas pode valer a pena considerar ...

Exija que os 5 usuários usem uma senha normalmente. No entanto, para fazer login, eles também precisam de uma senha única para o módulo PAM do Google Authenticator - que eles obteriam de um sexto usuário (seu gerente, por exemplo). O 6º usuário precisaria estar presente quando eles se conectassem, pois as OTPs só permanecem válidas por um curto período de tempo. O sexto usuário também precisaria do Google Authenticator, ou seja, um aplicativo em seu smartphone.

Eu não tentei isso - eu não usei o módulo PAM do Google Authenticator - mas supondo que você estivesse feliz com a abordagem do "sexto usuário", não vejo razão para não funcionar. Dependendo de suas necessidades (ou paranóia!), Você também pode exigir uma YubiKey para o 6º usuário.