Como definir uma lista branca executável?

Question

No Linux, é possível definir uma lista branca de executáveis para um determinado grupo de usuários? Eu preciso que eles sejam incapazes de usar, por exemplo, make, gcc e executáveis em discos removíveis.
Como isso pode ser feito?

Edite, deixe-me explicar melhor.

Estou lidando com um sistema de ensino médio, jovens nerds que (durante as aulas) querem jogar, navegar na internet, danificar o computador da maneira que puderem. O principal passo para alcançar este objetivo foi remover o sistema com o qual estão familiarizados e instalar o Ubuntu em todos os computadores. Isso funciona muito bem, mas eventos recentes provaram que isso não é suficiente.
Eu quero permitir que eles executem certos programas seguros, como o Open Office, e negar qualquer outro programa, seja software pré-instalado, algo que eles carregam em drives USB, um programa baixado ou um script que eles programam no site

É possível remover a permissão 'x' em qualquer arquivo no computador, mas é claro que seria impraticável. Além disso, eles poderiam executar qualquer coisa que baixassem.
Eu pensei que a melhor solução seria fazer uma lista branca de programas seguros e negar qualquer outra coisa, mas eu realmente não sei como fazer isso. Qualquer ideia é útil.

    

Answer 1

Remova as OUTRAS permissões dos arquivos em / bin / sbin /usr/bin/usr/sbin/usr/local/bin/usr/local/sbin (etc, ad nauseum!)

Como o usuário não está no grupo raiz, ele não pode executar nenhum programa.

Para permitir determinados programas, defina as OUTRAS permissões para r-x (5) ... isso permitirá que eles usem esse programa.

Você também pode criar um grupo e adicionar determinados usuários a esse grupo. A alteração do grupo do programa em questão permitiria o acesso apenas AOS usuários. Isso permitiria a um grupo de alunos mais privilegiados maior liberdade de ação.

Claro, se, depois de tudo isso ... alguns ainda puderem se conectar e fazer o que for ... elogie-os! Felicite-os! Porque eles ainda sabem como pensar e resolver as coisas.

Eu não recomendo um chmod cart-blanche de TODOS os programas ... você ainda precisa deles para logar, iniciar o GUI e outros itens.

Isso só aumenta o nível, já que posso pensar em várias maneiras de contornar isso. (Mas, novamente, eu estou um pouco mais abaixo no caminho de aprendizado, eu acho).

    

Answer 2

Eu não entendo claramente o que você quer dizer, mas se você quiser permitir que usuários de grupos específicos executem determinados comandos, isso pode ser feito assim em /etc/sudoers :

%dev user=(root)NOPASSWD:/usr/bin/make, /usr/bin/gcc