|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Alexandr Goncharov 2:5020/400 17 Apr 2002 20:24:38
To : Igor Tihonov
Subject : Re: login:root
--------------------------------------------------------------------------------
Igor Tihonov <Igor.Tihonov@p3.f9.n5059.z2.fidonet.org> wrote:
IT> Системный таймер отметил Mon, 15 Apr 02 04:48:36 +0400 когда Konstantin
IT> Brazhnikov писал:
KB>> Прописываешь юзера, от которого будешь работать, в /etc/sudoers, говоришь:
KB>> alias edit="sudo $EDITOR"
KB>> и по edit "твой_любимый_конфиг" свободно попадай.
IT> а мож тогда сразу пароль рута сказать юзеру? он же получит
IT> _все_ рутовские привелегии!
С чего бы это?
=========
# sudoers file.
#
# This file MUST be edited with the 'visudo' command as root.
#
# See the man page for the details on how to write a sudoers file.
#
# Host alias specification
Host_Alias
SERVERS=server1.mydomain.ru,server2.mydomain.ru,server3.mydomain.ru,server4.mydo
main.ru
Host_Alias SERVER1=xx.xx.xx.xx/255.255.255.192
# User alias specification
User_Alias TACADM=user1,user2
User_Alias ADMINS=user1,user2
# Cmnd alias specification
Cmnd_Alias SHUTDOWN=/sbin/halt,/sbin/shutdown,/sbin/reboot
Cmnd_Alias SU=/bin/su
Cmnd_Alias TACCMD=/usr/local/tac+/bin/config.make,\
/usr/local/tac+/bin/tac.start,\
/usr/local/tac+/bin/tac.reload
Cmnd_Alias MISC=/usr/local/bin/joe
#Cmnd_Alias HTTP=/usr/local/apache/sbin/apachectl restart,\
# /usr/local/apache/sbin/apachectl start,\
# /usr/local/apache/sbin/apachectl stop
#
Cmnd_Alias HTTP=/usr/local/apache/bin/apachectl,\
/usr/local/apache/bin/apachectl
(start|stop|restart|fullstatus|status|graceful|configtest|help)
#
Cmnd_Alias NETMON=/usr/bin/vi /etc/netmon.conf,\
/usr/bin/killall -HUP netmond
# User privilege specification
#root ALL=(ALL) ALL
TACADM SERVERS=TACCMD,MISC
ADMINS ALL=ALL
webadm SERVERS=HTTP
user3 SERVERS=HTTP
user4 SERVER1=NETMON
================
Это живой /usr/local/etc/sudoers, который жил у нас некоторое время.
Сейчас содержание несколько поменялось.
Жил он в таком виде (имена серверов, username, IP изменены, ес-но)
на server1, server2, server3, server4.mydomain.ru и еше на ряде других.
Итого -
1) юзеры группы ADMINS могут выполнять на любом сервере любые команды от имени
рута, не зная пароля рута.
1) юзеры группы TACADM могут выполнять на хостах, перечисленных в SERVERS
команды управления tacacs-ом (запуск скрипта построения конфигурации,
стартовать tacacs скриптом, и запускать скрипт, посылающий такаксу комадну
перечитывания конфига ) и запускать редактор joe. От имени рута.
Остальные команды только от своего имени.
(То, что одни и те же юзеры сидят в ADMINS и TACADM - это наша избыточность.
Изменив набор юзеров в TACADM - получим более правильный вариант)
3) юзеры, входящие в группу webadm (системную, не User_Alias) - на хостах,
перечисленных в SERVERS - команды управления апачем. А именно -
apachectl из определенной директории (без аргуменов). И ее же, но с
аргументами, перечисленными в скобках.
4) user4 на SERVER1 - может редактировать конфиг программы netmon (лежащий в
/etc и только редактором vi) и посылать сигнал HUP демону netmond.
5) Алиасы SHUTDOWN и SU прописаны на будущее и никому не разрешены
(с поправкой на ADMINS, которым можно все)
И где тут _все_ рутовые привилегии?
--
Alexandr V. Goncharov, | Digital Networks, Tomsktelecom
AGV-RIPE, | agv@tomsknet.ru
AGV3-RIPN | phonе: +7(382-2)662510
--- ifmail v.2.15dev5
* Origin: Tomsktelecom - Digital Networks (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
