防止"sudo su -“但允许"sudo su - serveruser”

Question

首先，我不是在找摇滚明星的保安。我们只是一目了然地想要防止"sudo“，这里的策略是在运行命令时始终使用sudo，我们都希望这样做。理想的情况下，如果有人尝试"sudo“来遵守文化，并且永远不会变成根，我们会想要记录一些东西，这样我们就可以反向工程所有的命令，运行和发生了什么。是否有办法防止sudo su -但允许"sudo su - serveruser“？

谢谢，迪恩

Answer 1

您可以在sudoers文件中指定完整的"su - foouser“--必须匹配整个命令字符串，从而防止简单的"su -”。缺点是，您必须列出所有可接受的目标用户，并分别使用允许的命令。

或者，您可以使用sudoers来指定目标用户的组，并让他们使用"sudo -U“格式。

Answer 2

丹，

您可以做的是允许特定用户执行特定的命令。据我所知，sudo中没有“否定”机制。这只是你允许的。

但是，这不是直接的sudo，您可以激活wheel组，而且只允许该组的成员切换用户。见回答使车轮防止sudo su。