sudo -u usuário cmd vs sudoedit

Question

Eu li na internet que você tem que usar o sudoedit em vez do sudo vim. Eu entendo por que isso é e deve ser usado para que você não possa simplesmente editar os arquivos do usuário root.

No entanto, eu gostaria de gerenciar um usuário nologin (conta de serviço que executa um único aplicativo), vamos chamá-la de 'nologinuser' com minha própria conta non-root . Para isso eu precisaria dos direitos corretos no arquivo sudoers.

Eu tenho discutido com 2 gerentes de sistemas Linux e ambos discordam.

Linux admin A diz: você deve criar uma regra sudoedit para cada arquivo de configuração e uma regra sudo para cada comando.

Linux administrador B diz: Basta criar uma regra sudo que permita ler / escrever / executar tudo como aquele usuário com "sudo -u nologinuser *"

Pessoalmente eu concordo com o administrador B porque com "sudo -u nologinuser" você pode executar todos os comandos como aquele usuário apenas, e através deste comando você também herdou aquele usuário de seus direitos porque você o executa como aquele usuário. Isso também não causaria um problema de segurança na capacidade de alterar os arquivos do usuário root, porque nada é feito como root e é mais flexível.

Quem está certo ou há uma terceira opção melhor? Quem pode me dizer a melhor prática nisso. Qual é a melhor maneira de gerenciar um usuário do aplicativo nologin como não-root?

Obrigado.

    

Answer 1

• O plano do administrador Linux A é um pouco mais restritivo e obriga você a pensar um pouco sobre quais comandos e arquivos requerem tal acesso. O resultado será um monte de comandos e documentação permitidos que possuem linhas de configuração em seu arquivo sudoers. Essas linhas de configuração são essencialmente documentação.
  • Vantagens dessa abordagem: O princípio do menor privilégio sugere que minimizar essas permissões é melhor. Além disso, você tem documentação mais detalhada, no final. Essas coisas podem ser mais legais e consideradas benéficas para a segurança.
• O plano do administrador Linux B é mais simples. Se você não tem medo das consequências da execução do "sudo -u nologinuser sh", pode não haver muitas preocupações de segurança a serem tomadas.
  • Vantagens para essa abordagem: Simplificar é mais fácil de auditar e mais facilmente compreendido. Essas coisas podem ser mais legais e consideradas benéficas para a segurança.

A principal desvantagem significativa do plano do administrador do Linux A é que ele exigirá mais tempo / esforço, principalmente para configurar. Se você não souber os detalhes precisos, precisará descobrir esses detalhes, o que pode levar um pouco mais de tempo / esforço ou uma quantidade de tempo / esforço ridiculamente inviável. Você pode decidir que tais custos não valem o benefício.

Em conclusão: Ambas as perspectivas têm algum mérito. Qual você valoriza mais será quem está no comando (o que parece ser você). Em tais casos, as decisões individuais em tais cenários são uma das principais razões pelas quais pessoas confiáveis são colocadas nas posições de tomar tais decisões. (Esses tipos de cenários também podem ser o motivo pelo qual os especialistas em programação do mundo ainda não conseguiram automatizar mais os processos de design do que têm.) Assim, você decide (e está preparado para assumir a responsabilidade por qualquer coisa que você seja). responsável).

Já que você perguntou sobre uma terceira opção, aqui está uma: você usa um site personalizado no qual você faz logon HTTPS e a automação atualiza apenas os arquivos desejados ou executa apenas os aplicativos desejados, em vez de precisar executar manualmente "sudo" (ou a variação do sudoedit) em uma linha de comando. Isso também pode ser adequadamente seguro, se for feito corretamente.

Como essa questão é sobre segurança mais sofisticada, em vez do que muitos usuários comuns enfrentam diariamente, essas questões podem ser mais adequadas para ServerFault.com (ou talvez Segurança da Informação ou) em vez de SuperUser.com. Embora ambas as perspectivas tenham mérito, não há nenhuma que seja absolutamente completamente certa ou errada, o que acaba tornando isso um pouco mais baseado em opiniões, e não o melhor tipo de pergunta para qualquer um desses sites.