ユーザーがrootを介して他のユーザーのファイルにアクセスするのを防ぐメカニズムは何ですか？

Question

これ基本sudoとの違いは、su認証に使用されるメカニズムです。ユーザーはパスワード（徹底的に保護する必要があります）をsu知る必要があり、通常はユーザーに自分のパスワードを要求するように設定されます。すべてのユーザーが混乱を招くのを防ぐために、幸いなことに、このコマンドで解放された権限はファイルを使用して構成できます。rootsudosudo/etc/sudoers

これら2つのコマンドはしばしば他のユーザーとしてコマンドを実行しますroot。

sudo su -ユーザー（またはユーザーが属するグループ）がファイル/etc/sudoersに構成されているため、提供された例で機能します。つまり、許可するsudoこれにより一時的に権限をsudo取得し（ユーザー名がroot指定されていない場合はデフォルト）。パスワードを知らなくてもアクセスできます。rootsu -rootroot

逆に、ユーザーに使用を許可しないとsudo使用できませんsudo su -。

ディストリビューションには、通常、wheelメンバーがsudoすべてのコマンドを実行できるようにするグループ（しばしば呼ばれる）があります。このグループから削除すると、デフォルトでsudoはまったく使用できなくなります。

これを行う行は次/etc/sudoersのとおりです。

## Allows people in group wheel to run all commands
%wheel  ALL=(ALL)       ALL

このグループからユーザーを削除すると、システムはより安全になりますが、ユーザー（または他のシステム管理者）がユーザーに代わってシステムでより多くの管理タスクを実行します。

より賢明なトレードオフは、誰がそれを使用でき、使用できないか、およびそれらが使用できるコマンド（デフォルトではなく）をsudoより細かく制御できるように構成することです。sudoみんな注文する）。例えば、

## Allows members of the users group to mount and unmount the
## cdrom as root
%users  ALL=/sbin/mount /mnt/cdrom, /sbin/umount /mnt/cdrom

（以前の％wheel行がコメントアウトされているwheel場合、またはグループにユーザーがいない場合にのみ便利です。）

おそらくディストリビューションでは、管理者がユーザーとシステムに何を要求するかを予測できないため、これらのより細かい構成を標準で実装することはありません。

結論は、詳細を知っていると、ユーザーシェルへのアクセスを許可しない他のコマンド、または他のユーザーのファイルを変更できるコマンドへのアクセスを許可しながら停止できることですsudo。誰に、どのレベルまで許可するかを慎重に検討する必要があります。sudo su -rootsudo

警告する:visudoファイルを編集するには、必ずこのコマンドを使用してください。sudoers編集内容を確認し、誤って設定されたファイル（構文エラーのため）により、sudoエラーに対して編集を使用できないという難しい状況を防ぐことができます。これは、rootこのアカウントがデフォルトで無効になっているDebian / Ubuntuとバリアントの場合に特に当てはまります。

Answer 1