Questo post descrive i passaggi per rafforzare la sicurezza del sistema impedendo agli utenti con accesso sudo di ottenere il privilegio di superutente tramite il comando:
$ sudo su
Il sudo comando consente a un amministratore di sistema di abilitare un utente, o un gruppo di utenti, a eseguire specifici strumenti della riga di comando con privilegi diversi (come il privilegio "root" di superutente) conoscendo solo la password dell'utente originale.
Quando il comando sudo viene eseguito, tenta di trovare un comando corrispondente nei suoi file di configurazione /etc/sudoers o /etc/sudoers.d/; se viene trovata una corrispondenza, all'utente viene concesso il privilegio di eseguire il comando, in caso contrario l'evento viene registrato e il comando viene rifiutato.
Il comando sudo funziona confrontando gli argomenti dalla riga di comando con ciascuna voce nei file /etc/sudoers o /etc/sudoers.d/. La prima corrispondenza trovata determina il risultato. Ogni regola viene testata nel loro ordine nel file /etc/sudoers. La regola viene confrontata con l'inizio del comando. Se la regola è più breve del comando, viene controllata solo la parte corrispondente all'inizio del comando; qualsiasi resto del comando non viene verificato. L'ordine delle regole di /etc/sudoers è importante; metti sempre le regole più lunghe prima di una versione più breve.
1. Accedi come account root al server.
2. Eseguire il backup di /etc/sudoers file di configurazione.
# cp -p /etc/sudoers /etc/sudoers.ORIG
3. Modifica il file di configurazione /etc/sudoers.
# visudo -f /etc/sudoers
Da:
##Allow orarom user to run any command (enabled for patching from oracle platnum support) orarom ALL=(ALL) ALL
A:
##Limit the orarom user to run any command (enabled for patching from oracle platnum support), except for sudo su to root orarom ALL = ALL, !/bin/su
4. Quindi salva il file.
5. Fai lo stesso con un altro account utente in sudo.
Verifica
Verifichiamo se abbiamo disabilitato l'accesso sudo all'utente.
$ sudo su - [sudo] password for orarom: Sorry, user orarom is not allowed to execute '/bin/su -' as root on testvm01.