[mdk-re] Re: sudoers (was: Как добавить reiserfs?)

["Dmitry V. Levin" <ldv@alt-linux.org>]

[-- Attachment #1: Type: text/plain, Size: 2072 bytes --]

On Wed, Mar 13, 2002 at 04:23:03PM +0300, Maksim Otstavnov wrote:
> >> > > сегодня столкнулся с такой вещью: когда пытаюсь рестартануть postfix или
> >> ipchains не из под рута,
> >> > > получаю "..... is reserved for the super ....".
> >> > >
> >> > > Подскажите, пожалуйста, где искать.

Уж точно не в письмах на тему "Как добавить reiserfs?".

> >> > В любой книге по азам администрирования Unix/Linux.
> AKJ> Это именно _администрирование_ системы, а значит, прерогатива root'a aka
> AKJ> superuser.
> 
> Но ответ был неправильным, т.к. на сегодня "корректный" способ
> выполнения отдельных административных действий пользователем зависит
> от концепции конкретной ОС и даже конкретного дистрибутива.
> 
> Если бы мне нужно было регулярно выполнять такие действия, я бы 1)
> создал в restricted shell скрипт, 2) принадлежащий пользователю root и
> вновь созданной группе restarters, 3) поставил бы ему SUID-бит, 4)
> разрешил бы исполнение членам группы и 5) внес бы в эту группу всех
> пользователей, которым нужно выполнять такие действия.

Ага, а злобный cracker запустил бы этот скрипт в таком environment'е, что
получился бы restarters->root.

> Но это BSD-шный спинномозговой опыт, и что-то мне подсказывает, что в
> ALT Linux это "некошерно" и стОит использовать sudoers или что-то
> рядом.

Если необходимо делегировать (рутовые) права на определенные ресурсы,
например, запуск определенных приложений в определенном контексте, то
лучше всего для этого приспособлен sudo(8).
Хотя бы потому, что он реализует пункты 1)-5) заведомо не хуже, чем это
сделал бы Максим.

Про необходимые в этом случае меры предосторожности см. sudoers(5).
Если не найдете, спрашивайте - вам ответят.


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.com/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]