Permitir que usuários não administradores instalem pacotes via apt ou rpm?

Question

É possível permitir que usuários não-root instalem pacotes em todo o sistema usando apt ou rpm?

O local onde eu trabalho atualmente tem uma configuração desatualizada nas caixas de linux, e os administradores estão cansados de ter que fazer todas as instalações para os usuários a pedido, então eles estão pensando em dar direitos completos de sudo a todos os usuários. Isto tem desvantagens de segurança óbvias. Então, eu estou querendo saber se há uma maneira de permitir que usuários normais instalem software - e atualizem e removam-no?

    

Answer 1

Você pode especificar os comandos permitidos com o sudo, você não precisa permitir acesso ilimitado, por exemplo,

username ALL = NOPASSWD : /usr/bin/apt-get , /usr/bin/aptitude

Isso permitiria que o nome de usuário executasse sudo apt-get e sudo aptitude sem nenhuma senha, mas não permitiria outros comandos.

Você também pode usar o pacote de pacotes combinado com PolicyKit para um nível mais refinado de controle do que o sudo.

Permitir que os usuários instalem / removam pacotes pode ser um risco. Eles podem facilmente tornar um sistema não-funcional apenas desinstalando softwares necessários como libc6, dpkg, rpm etc. Instalar software arbitrário a partir dos arquivos definidos pode permitir que atacantes instalem software desatualizado ou explorável e obtenham acesso root. A questão principal na minha opinião é o quanto você confia em seus funcionários?

É claro que sua equipe de administração também pode começar a usar um sistema de gerenciamento de configurações, como fantoches, chefs ou dar uma olhada no passeio espacial para gerenciar seu sistema. Isso permitiria configurar e gerenciar o sistema a partir de um sistema central.

    

Answer 2

aptdcon

Nas páginas man:

aptdcon: allows to perform package management tasks, e.g. installing or removing software, using aptdaemon. There isn't any need to be root to run this program.

    

Answer 3

username ALL = NOPASSWD : /usr/bin/yum, /bin/rpm

    

Answer 4

Eu também procurei algo assim, mas nada apareceu, então codifiquei esta solução fácil "softwarechannels":

link

É um sistema muito simples para permitir que usuários comuns (sem administração) instalem pacotes de catálogos restritos.

Basta definir 'canais' (grupos de pacotes) em um arquivo de texto simples e conceder aos usuários permissões para iniciar softwarechannels.

Eles só verão pacotes em canais correspondentes a seus grupos unix.