Evitar que usuários sudo mudem para outro usuário, sem a senha do usuário-alvo?

Question

Desculpe se o título é ambíguo, no entanto eu sou bem novo no Ubuntu, mas acabei de configurar um servidor rodando ele com um grupo de "desenvolvedores" que são todos sudo.

No momento, os usuários só podem fazer login via SSH com uma chave vinculada à conta. Mas user1 poderia simplesmente fazer:

sudo su - user2

E atue como usuário2 sem uma senha. Existe uma maneira de forçar o mesmo comportamento que

su - user2 

qual exigirá a senha do usuário2? Caso contrário, rastreie os comandos de cada usuário para ver quem fez o que é um tanto inútil ...

Obrigado!

    

Answer 1

Para evitar a troca de usuários por sudo su - , você precisa desativar a capacidade do root em su para qualquer usuário. Edite /etc/pam.d/su e comente esta linha:

auth       sufficient pam_rootok.so 

Como o comentário acima em /etc/pam.d/su diz, isso permite root em su sem senhas.

Ou você pode restringir o uso de sudo a um conjunto limitado de comandos que não incluem su e forçar a troca de usuários por sudo -i -u / sudo -s -u e ativar a opção targetpw em sudoers .

    

Answer 2

Privilégios Sudo só devem ser concedidos àqueles que precisarem administrar a própria máquina. Outros privilégios podem ser gerenciados por meio de privilégios de grupos e grupos. Por exemplo, adicione um usuário chamado 'developer1' ao grupo www-data:

sudo usermod -a -G www-data developer1

Isso adicionará "developer1" ao grupo de dados www do Apache.

sudo chgrp -R www-data /var/www

Certificar-se-á de que todos os arquivos e diretórios em / var / www pertencem ao grupo 'www-data'.

sudo chmod -R g+w /var/www

Irá garantir que o grupo tenha acesso de gravação a todos os arquivos em / var / www

link