权限提升直接防止根

Question

我想这将是我在房子的StackExchange侧的第一篇文章。但是，我知道这必须能够被配置，因为我以前见过它的实现，但是我不知道它是如何实现的。

我想做的是用RedHat 7/8或者导数.如何使用户必须执行下列权限升级：

<user> -> <user>.adm -> root

• IdM中的ssh_users组中的用户可以从网络中的任何地方访问服务器(S)。
• IdM中的域管理员不能用于服务器的SSH，也不在组中。
• 作为域管理员的用户必须将SSH发送到他们的标准用户，然后是sudo su - <user>.adm。他们无法直接到达根部。
• 同时具有根访问权限的域管理员的用户必须首先使用sudo su - <user>.adm，然后才能使用sudo su - root。
• 并不是所有的域管理员都有获得根升级的权限。

最终，域管理员是具有维护、故障排除和补救系统相关权限的系统管理员。系统工程师拥有获取根的权限，这给了他们对系统的全部权限。这也适用于委托责任，其中只有审核帐户<user>.isso有权删除根用户以外的日志。这就是阻止这一需求的根本原因。

我真正要寻找的是一些文档(因为我在画空白)，这些文档可以为我指明正确的方向，或者在功能上实现这种最小特权方法的Ansible角色/剧本。任何帮助都将不胜感激！

Answer 1

同时具有根访问权限的域管理员的用户必须首先使用sudo su - <user>.adm，然后才能使用sudo su - root。

从概念上讲，我认为你应该并需要实现的是：

所有管理员都有两个个人帐户：

1. “常规”用户帐户
2. 管理员帐户

若要在Linux服务器上获得完全管理员权限，请执行以下操作：

1. 管理员首先需要使用他们的常规用户帐户<user>登录。
2. 一旦登录到服务器上，他们就会通过登录到个人管理员帐户<user>.adm 来提升自己的权限。
   • sudo su - <user>.adm请求<user>帐户的密码，然后使用根权限将用户替换为<user>.adm。
   • ^这是错误的方法IMHO，您应该希望管理员使用su - <user>.adm，这意味着管理员需要输入他们的密码，以便<user>.adm帐户(而不是<user>帐户的密码)以<user>.adm身份登录。
     • 然后，只要您的管理员在adm帐户上没有与他们的常规帐户相同的密码，一个已泄露的密码就不足以成为您所有服务器的根目录。赢!
     • 此外，他们的常规用户帐户sudo不需要<user>策略。赢!

3. 使用个人管理员帐户登录后，应该允许他们执行所有需要root特权的操作。这需要设置一个sudo策略。这方面的信息已经够多了。我更喜欢使用大多数现代#includedir /etc/sudoers.d策略中包含的/etc/sudoers机制( #这里没有评论！)并删除一个文件(在文件名中不包含. )并以这种方式设置策略。一种选择是为hbruijn.adm个人设置一个策略，即/etc/sudoers.d/hbruijn_adm：# /etc/sudoers.d/hbruijn_adm # sudo策略，允许HBruijn的管理帐户以任何用户的身份执行所有#，而不提示密码hbruijn.adm all = NOPASSWD:所有允许在Linux系统上获得完全根权限的adm帐户都属于特定组，请设置基于组的策略。

这意味着您还可以防止管理员直接登录到他们的adm帐户。

例如，对于SSH远程访问，可以在服务器DenyUsers中使用/etc/ssh/sshd_config指令来防止特定用户或匹配模式的用户登录：

# /etc/ssh/sshd_config
#here go defaults for all connections/users
PasswordAuthentication no
PubkeyAuthentication no
...
DenyUsers *.adm 

或者使用类似的DenyGroups来设置基于组的策略。