Os administradores podem alterar as senhas de outros administradores

Question

Parece que um usuário definido como "Administrador" pode alterar as senhas de usuários não apenas "padrão", mas também de outros administradores. Existe uma maneira de fazer com que os administradores (existem múltiplos neste sistema) não possam interferir nas contas de outros administradores (isto é, eles só poderiam gerenciar os usuários "abaixo" deles)?

    

Answer 1

A propriedade importante dos administradores no Ubuntu é que eles podem executar qualquer ação que escolherem, como root , usando sudo e polkit . Isso é necessário para que eles tenham o poder de administrar totalmente o sistema. E isso é já como um administrador altera a senha de outro usuário.

Restrições consideráveis teriam que ser postas em prática para que isso parasse de forma eficaz, o que resultaria no administrador não ser mais um administrador de fato . Mesmo que você tenha configurado meticulosamente o sistema com várias exceções (talvez via AppArmor ou SELinux) para impedi-los de fazer isso, eles poderiam facilmente recuperar esse poder se pudessem:

• Execute algum comando como root que permita que eles injetem e executem um comando arbitrário.
• Edite arquivos arbitrários no sistema.
• Edite ou crie um arquivo de configuração que controle quem pode executar comandos como raiz e quais comandos eles podem executar (como /etc/sudoers ou arquivos em /etc/sudoers.d ), mesmo que eles não tenham permissão para editar todos arquivos de propriedade da raiz.
• Edite um arquivo de configuração envolvido na execução automática de comandos como raiz, como /etc/crontab . Ou, da mesma forma, agendar at jobs para root.
• Instale um software arbitrário. Eles poderiam fazer um pacote que fizesse qualquer uma das coisas acima automaticamente como root durante a etapa de configuração de sua instalação. Ou eles poderiam criar um pacote que permita que eles executem o software que ele instala (por exemplo, ele pode instalar setuid executáveis de propriedade de root escritos para quebrar as restrições impostas).
• E esses são apenas exemplos. Isto está longe de ser uma lista exaustiva.

Eu suspeito que o que você realmente quer pode ser um dos seguintes:

1. Para criar um usuário limitado com alguns poderes adicionais, mas não o poder total de um administrador, e não o poder de executar comandos arbitrários como root ou editar mais em todo o sistema arquivos de configuração.

   Isso começaria com o simples passo estabelecido na resposta do ByteBOT - o usuário precisa não ser um administrador, para que as limitações sejam efetivamente impostas.

   Se isso é ou não prático depende dos poderes e limitações específicos que você deseja que eles tenham. (Não é prático se você quiser que eles sejam capazes de fazer tudo exceto as senhas dos administradores de redefinição, veja acima.) Se os poderes que você quer lhes dar estiverem bem definidos e não muito expansivos, bem ser viável.

2. Para impedir que outros administradores, ou talvez funcionários que são oficialmente ^{que façam o que você diz, se comportem de uma maneira que você considera errada ou prejudicial. Se esta é a situação, isso não é realmente um problema técnico . As tentativas de resolver este tipo de problema através de meios técnicos geralmente têm muito mais desvantagens do que vantagens.}

   Uma das razões para isso é que ele cria um concurso técnico para resolver (leia-se: perpetuamente não resolve de forma significativa) um desacordo que deveria ser resolvido por alguma combinação de discussão, negociação, explicação da situação, ou redefinição / dissolução da relação entre o pessoal. Provavelmente (espero) você não quer oficializar disputas mesquinhas e brigas territoriais entre membros de sua equipe.

3. Para criar um mecanismo automatizado que lembre os administradores deste sistema, eles geralmente não devem alterar as senhas de outros administradores.

   Se é isso que você quer, e você entende que não realmente mantém um administrador que deseja redefinir qualquer senha, então acredito que seja factível.

Se você está tentando resolver o problema 1 ou 3, considere postar uma nova pergunta sobre ele, com detalhes.

    

Answer 2

Pela razão que o muru afirmou em seu comentário acima, é impossível restringir algumas ações para contas de administrador. Mesmo que você consiga que o administrador não faça isso por conta própria, ele / ela ainda tem o direito de se tornar root (sudo) e não tem nenhuma restrição.

Desculpe, mas a única coisa que restringe os direitos de um administrador é converter o administrador dele em uma conta normal ...