sudo设计方案

1.用户分类     

 

给不同的用户组设置不同的命令权限，新加用户只用加入相应的用户组即可继承该组权限

 

暂时设定3个组 

PRO     高级管理员      ADM    中级管理员        GST        非管理员

 

实操

groupadd -f PRO && groupadd -f ADM && groupadd -f GST

useradd  -g ADM  zhuyu  useradd sh -g PRO  等等  

 

2.命令分类

 

参照sudoer文件把命令分为多个类别

 Cmnd_Alias NETWORKING = /sbin/route, /sbin/ifconfig, /bin/ping, /sbin/dhclient, /usr/bin/net, /sbin/iptables, /usr/bin/rfcomm, /usr/bin/wvdial, /sbin/iwconfig, /sbin/mii-tool
 Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/up2date, /usr/bin/yum
 Cmnd_Alias SERVICES = /sbin/service, /sbin/chkconfig
 Cmnd_Alias LOCATE = /usr/bin/updatedb
 Cmnd_Alias STORAGE = /sbin/fdisk, /sbin/sfdisk, /sbin/parted, /sbin/partprobe, /bin/mount, /bin/umount
 Cmnd_Alias DELEGATING = /bin/chown, /bin/chmod, /bin/chgrp 

 Cmnd_Alias PROCESSES = /bin/nice, /bin/kill, /usr/bin/kill, /usr/bin/killall
 Cmnd_Alias DRIVERS = /sbin/modprobe

 Cmnd_Alias USERCTL = /usr/sbin/passwd, /usr/sbin/userdel, /usr/bin/passwd，

 Cmnd_Alias DANGER = /bin/rm -rf , /bin/rm -r , /bin/rm -f , /usr/sbin/visudo ,  /usr/bin/chattr

（具体可是在实际应用中完善）

 

实操：

root 用户下 visudo

1、取消 Cmnd_*前面的所有注释 

2、在# Defaults specification 上面添加Cmnd_Alias USERCTL = /usr/sbin/passwd, /usr/sbin/userdel, /usr/bin/passwd， 

                                                               Cmnd_Alias DANGER = /bin/rm -rf , /bin/rm -r , /bin/rm -f , /usr/sbin/visudo ,  

以及自己定制的命令组

 

3.权限匹配

 

目前规划是

 PRO组用户可以运行          除USERCTL、DANGER（主要是不能编辑sudo,不能修改root和别人密码，不能删除用户）外所有的命令，并且不用输入root和自己密码

 ADM组用户可以运行        除DELEGATING、PROCESSES、USERCTL、DANGER 

 GST组用户可以运行          暂时顺延普通用户权限

 

实操：

root用户下visudo

1./root找到## Allow root to run any commands anywhere 这行

2.在内容中添加 

%PRO    ALL=(ALL)   NOPASSWD: ALL,!DELEGATING,!USERCTL,!DANGER 

%ADM  ALL=(ALL)   NOPASSWD: ALL,!DELEGATING,!PROCESSES,!USERCTL,!DANGER 

3.sudo -l 查看当前用户的权限

[admin@test zhuyu]$ sudo -l
User admin may run the following commands on this host:
    (ALL) NOPASSWD: ALL, (ALL) !/usr/sbin/visudo, !/bin/chown, !/bin/chmod, !/bin/chgrp,
    (ALL) !/bin/nice, !/bin/kill, !/usr/bin/kill, !/usr/bin/killall, (ALL)
    !/usr/sbin/passwd, !/usr/sbin/useradd, !/usr/sbin/userdel, !/usr/sbin/usermod,
    !/usr/sbin/visudo, !/usr/bin/passwd, (ALL) !/bin/rm, !/usr/sbin/visudo

 

[zhuyu@test root]$ sudo -l
User zhuyu may run the following commands on this host:
    (ALL) NOPASSWD: ALL, (ALL) !/usr/sbin/visudo, !/bin/chown, !/bin/chmod, !/bin/chgrp,
    (ALL) !/usr/sbin/passwd, !/usr/sbin/useradd, !/usr/sbin/userdel, !/usr/sbin/usermod,
    !/usr/sbin/visudo, !/usr/bin/passwd

 

 

4.日志

1、visudo

最后面加上

Defaults logfile=/var/log/sudo.log

Defaults loglinelen=0
Defaults !syslog

2、touch /var/log/sudo.conf

3、vi /etc/rsyslog.conf

在RULES条目中加入

local2.debug                                            /var/log/sudo.log

然后service rsyslog restart

3.然后就可以通过 /var/log/sudo.log 查看sudo记录了，以下是试验结果

[root@test ~]# tail -n 10 /var/log/sudo.log 
Aug 28 07:02:40 : zhuyu : TTY=pts/0 ; PWD=/var/log ; USER=root ; COMMAND=/usr/bin/yum install syslog
Aug 28 07:03:42 : zhuyu : command not allowed ; TTY=pts/0 ; PWD=/root ; USER=root ; COMMAND=/usr/bin/passwd
Aug 28 07:03:49 : zhuyu : command not allowed ; TTY=pts/0 ; PWD=/root ; USER=root ; COMMAND=/usr/sbin/useradd
Aug 28 07:03:53 : zhuyu : TTY=pts/0 ; PWD=/root ; USER=root ; COMMAND=/sbin/ifconfig

 

5.维护

通过添加新的权限组和更改各组的命令池来满足现实环境中的应用

 

文件安全设计方案

 

采取加锁的方式保护重要文件，root用户可以使用chattr +i/-i file 给文件加/去 锁定 ，而在sudoers里面禁止除root外用户使用chattr命令

暂时加锁定  /etc/passwd  /etc/shadow  /etc/group  /etc/gshadow

这样即使是root用了rm -rf 也删不掉这些文件，除非先解锁

如果不希望别的用户和用户组查看这些文件，也可以chmod +/- 读写执 改变

 

实操    chattr +i  /etc/passwd  /etc/shadow  /etc/group  /etc/gshadow 

 

实验环境结果：

[root@test zhuyu]# ls
1  2  3  4  5
[root@test zhuyu]# chattr +i 1 2 3 4 
[root@test zhuyu]# ls
1  2  3  4  5
[root@test zhuyu]# rm -rf *
rm: cannot remove `1': Operation not permitted
rm: cannot remove `2': Operation not permitted
rm: cannot remove `3': Operation not permitted
rm: cannot remove `4': Operation not permitted
[root@test zhuyu]# chattr -i 1 2 3 4 
[root@test zhuyu]# ls
1  2  3  4
[root@test zhuyu]# rm -rf *
[root@test zhuyu]# ls
[root@test zhuyu]# ls