Удаленный корневой вход в систему

При отключении удаленного корневого доступа их, Вы предотвращаете удаленных взломщиков от прямого получения корня - они должны повредить другую учетную запись, получить доступ к машине и затем попытаться заставить доступ базироваться. Это - дополнительный шаг.

Обычно корень отключен для удаленного доступа. SU работает хорошо. Если что-то действительно повреждается всегда существует прямой доступ к полю для фиксации его.

Если Вы хотите быть более строгими - просто отключают корень полностью, это - то, для чего sudo там. Снова, с тем подходом можно все еще получить корневой доступ путем припадания до однопользовательского режима - а-ля Ubuntu. Хотя, я полагаю, что они использовали исправленный init для этого согласно их документам.

Кроме того, можно установить бездействовавший для начинания неактивных пользователей в случае, если их терминалы оставляют открытыми, и ПК открыты также. Можно вынудить всех пользователей использовать ключи, но управление ключами может быть трудным.

Единственный хост входа передачи как breakglass система типов также вызвал дополнительный слой защиты и журнала аудита.

По большей части существует мало получен путем фактического отключения удаленных корневых логинов. Это незначительно помогает осуществить политику, что администраторы регистрируют на пути свои собственные учетные записи и su базироваться по мере необходимости (или использование sudo возможно с sudosh ... в зависимости от Ваших политик).

Создание чрезвычайно долгих и громоздких паролей root (эффективный, пока Вы все еще не используете древнее DES+12-bit, солят хеширование для Ваших паролей) является почти столь же эффективным при осуществлении такой политики.

Один сайт, с которым я знаком, имел систему, посредством чего уникальные пароли были случайным образом сгенерированы для каждого хоста, сохранили в базе данных и выставили к системам. Администраторы были обязаны использовать ssh с их нормальными учетными записями, и sudo для большинства операций. Однако пароль root был доступен для них через базирующийся внутренний веб-сервис SSL (который далее потребовал их маркера RSA SecurID и PIN). Выборка пароля root повлекла за собой ввод выравнивания (обычно ссылка на номер билета Remedy(TM)) и доступы, где периодически контролируется. Одна из нескольких приемлемых причин использования пароля root непосредственно была в тех случаях, где система была остановлена на fsck во время процесса начальной загрузки... и sulogin требовал реального пароля root для ручного осуществления процессов проверки и восстановления файловой системы. (Было некоторое обсуждение альтернативных методов для этого---, которые относительно легки для Linux, но становятся намного более трудными, поскольку Вы пытаетесь расширить свои процедуры для составления многих HP-UX прежней версии, AIX и более старый SunOS и системы Соляриса, которые все еще работали в той среде).

Существуют угловые случаи, где пароль root является необходимым---или по крайней мере является наилучшей имеющейся альтернативой. Хранение его доступный при создании его достаточно устойчивым против видов угроз, которые можно ожидать, обычно является лучшей стратегией.

Другой сайт, о котором я знаю, имеет довольно изящный подход к децентрализованному ведению счетов. У них есть пользователь -*, и sudo -* пакеты (думайте RPMs), которые установлены в системы с помощью нормальных процедур управления пакета и инфраструктуры автоматизации. В их случае sudo -* пакет имеет зависимость от соответствующего пользователя -* пакет. Это хорошо, потому что это позволяет Вам иметь кластеры машин с локализованными учетными записями (все учетные записи являются администраторами, разработчиками, персоналом поддержки или "бездисплейными" учетными записями), и устраняет зависимость от LDAP/NIS или других сетевых идентификационных данных и услуг аутентификации. (Это уменьшает связь среди систем, делает их значительно более устойчивыми).

Каждый думает, что мне нравится приблизительно, что подход состоит в том, что это дает гибкость. Любой с sudo доступ может дать команду для добавления обычного пользователя или другого sudo учетная запись пользователя. Так, если я работаю над билетом какой-либо из людей, у которых уже есть доступ к системе, может легко предоставить мне доступ. Нет никаких задержек, в то время как билет для добавления меня к некоторому списку управления доступом в некоторой центральной базе данных стачивается через некоторый централизованный процесс подтверждения и наконец распространяет изменение, отступают к рассматриваемой системе. Любой из авторизованных sudo- ers в системе может предоставить мне доступ и позже удалить меня. (Да, если я был злым и они играют меня sudo Я мог злонамеренно изменить вещи сохранить доступ... на самом деле существуют некоторые вещи, которые я мог сделать так же, как обычный пользователь для сохранения доступа мимо такого удаления. Однако это не угроза, по поводу которой они волнуются. Мой доступ все еще ограничен относительно меньшим числом систем в целом; таким образом, влияние поставленной под угрозу учетной записи еще более ограничено, чем большинство подобных схем, которые я видел.

никогда не позволяйте корень

настройте систему для предоставления доступа через ключи только никакие пароли

затем настроенный sudo для пользователей позволил вносить изменения с помощью корневой учетной записи

Я предлагаю, чтобы Вы установили систему для предоставления корневого доступа ТОЛЬКО в консоли.

Иначе, с помощью sudo с опцией пароля, предоставьте доступ выбранных пользователей к командам priv'd. BTW, поймите, что sudo может быть разработан для ограничения учетной записи пользователя определенными командами, если Вы желаете. Sudo, оставляет "метку" в системном журнале, что это использовалось. sudo лучше, чем su, потому что пароль root не становится раскрытым. Таким образом можно изменить пароль root, и пользователь, использующий sudo, не был бы немного более мудрым.

Позволенное использование sudo для получения до команд priv'd должно сопровождаться принудительными периодическими изменениями пароля с частотой в зависимости от среды.