防止本地管理员在Ubuntu (桌面)上安装任何黑名单的软件包

Question

我们公司需要Ubuntu客户。然而，在安全方面也存在一些问题。在我们的例子中，大多数Ubuntu用户都是本地管理员(在/etc/sudoers中列出)，但我们希望防止用户访问恶意工具和包。目前，这是部分使用思科伞/ OpenDNS，但它不是完全防水。

那么，我们如何确保安全更新和对已安装包的更新被执行，但用户无法安装“新”包或从源创建包？

• 黑名单软件包将解决一些问题，但本地管理员可以绕过这一点。这能防止吗？
• 是否会有一个临时解决方案，比如“sudoers”和“泛型”用户之间的特权级别？

Answer 1

从所有讨厌的用户中删除sudo权限，而对特定的命令/用户使用sudo白名单。

阅读man sudoers，您可以阅读本教程“在Linux中只使用sudo运行特定命令”：https://kifarunix.com/run-only-specific-commands-with-sudo-in-linux/