[Comm] Запрет удалённого исполнения некоторых команд.

[Comm] Запрет удалённого исполнения некоторых команд.

[harlan]

Есть сервер ALM 2.2, который стоит в нескольких десятках километрах от меня. Я его администрирую через ssh.
Возникла необходимость запретить исполнение некоторых команд с удалённого терминала (например halt, shutdown -h)
даже от имени root, а с локального терминала разрешить эти команды только для root. Подскажите, как это можно 
сделать? Нутром чую, что через sudo, но можно узнать конкретнее - КАК? Желательно с примерами.

[Comm] Re: Запрет удалённого исполнения некоторых команд.

[Anton V. Boyarshinov]

On Thu, 22 Apr 2004 09:53:58 +0700 harlan
 wrote:

> Есть сервер ALM 2.2, который стоит в нескольких десятках
> километрах от меня. Я его администрирую через ssh. Возникла
> необходимость запретить исполнение некоторых команд с
> удалённого терминала (например halt, shutdown -h) даже от имени
> root, а с локального терминала разрешить эти команды только для
> root. Подскажите, как это можно сделать? Нутром чую, что через
> sudo, но можно узнать конкретнее - КАК?

Надёжно -- никак. По крайней мере без RSBAC или чего-нибудь
подобного.

Антон
-- 
mailto:boyarsh@mail.ru
mailto:boyarsh@ru.echo.fr
 10:24:00  up 10 days, 22:20,  9 users,  load average: 1.00,
1.03, 1.06

Re: [Comm] Запрет удалённого исполнения некоторых команд.

[Sodom]

Здравствуйте, harlan.

Вы писали 22 апреля 2004 г., 6:53:58:

h> Есть сервер ALM 2.2, который стоит в нескольких десятках
h> километрах от меня. Я его администрирую через ssh.
h> Возникла необходимость запретить исполнение некоторых команд с
h> удалённого терминала (например halt, shutdown -h)
h> даже от имени root, а с локального терминала разрешить эти
h> команды только для root. Подскажите, как это можно 
h> сделать? Нутром чую, что через sudo, но можно узнать конкретнее - КАК? Желательно с примерами.

Знаете, я в подобных случаях просто делаю chmod -x на подобные файлы.
Чтобы уж 100% даже я сам по ошибке не мог случайно остановить сервер.
Если приспичивает - ставлю исполнимый бит обратно.
Наверное, в Вашем случае, необходимо все же локальному руту разрешить
принципиально?

h> _______________________________________________
h> Community mailing list
h> Community@altlinux.ru
h> http://lists.altlinux.ru/mailman/listinfo/community



-- 
С уважением,
 Sodom                          mailto:sodom@sodom.ru

Origin:  Сколько голов, столько умов. Но первых всегда больше.

[Comm] Re: Запрет удалённого исполнения некоторых команд.

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 922 bytes --]

harlan пишет:
> Есть сервер ALM 2.2, который стоит в нескольких десятках километрах от меня. Я его администрирую через ssh.
> Возникла необходимость запретить исполнение некоторых команд с удалённого терминала (например halt, shutdown -h)
> даже от имени root, а с локального терминала разрешить эти команды только для root. Подскажите, как это можно 
> сделать? Нутром чую, что через sudo, но можно узнать конкретнее - КАК? Желательно с примерами.

Если не работать под root вообще - ни локально, ни удалённо - то 
можно через sudo. Для администрирования достаточно выдать себе 
sudo на текстовый редактор и /sbin/service. А sudo действительно 
умеет смотреть на тип подключения. Про КАК написано в man sudoers.

Более правильный подход при удалённом администрировании - не 
запретить некоторые команды, а наоборот, разрешить некоторые команды.

<skipped/>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 252 bytes --]

Re: [Comm] Re: Запрет удалённого исполнения некоторых команд.

[Antonio]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

On Thu, 22 Apr 2004, Vitaly Ostanin wrote:

> Если не работать под root вообще - ни локально, ни удалённо - то
> можно через sudo. Для администрирования достаточно выдать себе
> sudo на текстовый редактор

Угу. Выдать sudo на vi (или любую команду, из которой можно
запустить ещё какую-либо внешнюю команду) и здравствуй, новый
root (в vi :!sh)... ;-)

- -- 
Best regards,
	Tony.			mailto:obidos@mail.ru
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.0 (GNU/Linux)

iD8DBQFAh6Z72gaLrWRbr5URAgfUAKCer8frTXriVX3ne1YHPzGS2PU5QACdEw+3
4zVSlwqXsKwwhmj2yLGD5Dk=
=8+9d
-----END PGP SIGNATURE-----