centos 7, limites de direitos dos sudoers

Question

Eu tenho uma tarefa para separar as obrigações dos usuários em um grupo de servidores, o sistema é centos 7 existe um usuário que eu quero dar todo o direito no servidor, exceto pelo direito de alterar as senhas root e de outros usuários. adicionar o usuário à roda de grupo não faz isso direito, pois o usuário pretendido poderia alterar as senhas de todos (incluindo a raiz). Procurei uma resposta, mas não consegui encontrar nada relacionado a essa demanda específica.

alguém tem uma ideia sobre isso?

obrigado antecipadamente

    

Answer 1

Você precisa dar ao usuário comandos específicos que eles podem executar e ser muito específicos. Você pode limitar o acesso para que eles não possam executar a "senha sudo" diretamente, mas ela não é realmente aplicada. Se eles podem iniciar um shell de root, eles podem ignorar isso. Você pode até executar o vi como root e executar comandos nele.

No passado, dei muito acesso aos usuários, tornando-os um programa com um menu para que eles pudessem executar ações específicas. Isso me permitiu verificar todas as entradas que eles deram.

    

Answer 2

Você não pode restringir e impor sudo a "permitir tudo, exceto ..." .

Se você quiser impedir que alguém com direitos locais sudo / root altere as senhas de usuários, eles não devem ser armazenados nesse sistema e você normalmente configuraria um banco de dados de autenticação central, como um diretório LDAP, Kerberos, servidor IPA. etc