Contratamos recentemente um programador externo para desenvolver novos sistemas de back-end para nós. Ele solicitou acesso SSH ao nosso servidor web. Nós trabalhamos com ele há anos e confio nele tanto quanto qualquer empregado interno, então não estou preocupado com ele quebrando qualquer coisa de propósito. Mas que permissões ele deve receber? O que é uma boa política para permitir que um contratante externo trabalhe com seu servidor, supondo que ele precise de muitas permissões. Idealmente, gostaria de dar a ele todos os poderes de uma raiz, exceto alterar as senhas de outras pessoas, mas não tenho certeza se isso é possível.
Uma boa política é sempre dar permissões somente ao que é necessário, mas isso pode ser muito sobrecarga administrativa. Explore o arquivo sudoers (/ etc / sudoers) para começar e você pode postar perguntas específicas para quais permissões você deseja conceder.
Bem, desde que você pode dar a ele os poderes da raiz, o que você poderia fazer poderia ser o de rastrear o que ele faz do que limitar. Mudar as senhas será uma das coisas menos problemáticas porque, afinal, você saberá bem rápido.
Você pode fornecer acesso a ele com um usuário normal e permitir que o usuário execute os comandos necessários usando o sudo. Idealmente, você não permitirá que ele faça coisas como sudo su outro usuário, porque dessa forma você não o verá mais rastreado.
Além disso, considere ter o log de seus comandos enviado para outro servidor, para que ele não seja capaz de ocultar totalmente suas faixas.
Eu configurei ambientes com chroots separados para contratantes externos, para que eles não entrem em nossos arquivos, mesmo que as permissões estejam erradas em algum lugar. O SSH tem uma opção chroot que pode ser usada para essas ocasiões. Você pode até mesmo especificar um determinado grupo de usuários que recebe um login chrooted.
Sua milhagem para contratantes de confiança pode variar, mas eu jogaria do lado seguro, e ofereceria acesso exatamente ao que é necessário, nada menos, nada mais.
Comece dando a ele acesso normal ao usuário e expanda conforme necessário. O Sudo será a ferramenta preferida para isso. Ele permite direitos de root seletivos com sua própria senha e registra tudo que é invocado.