[mdk-re] Re: sudoers (was: Как добавить reiserfs?)

[Dmitry V. Levin]

On Wed, Mar 13, 2002 at 04:23:03PM +0300, Maksim Otstavnov wrote:
> >> > > сегодня столкнулся с такой вещью: когда пытаюсь рестартануть postfix или
> >> ipchains не из под рута,
> >> > > получаю "..... is reserved for the super ....".
> >> > >
> >> > > Подскажите, пожалуйста, где искать.

Уж точно не в письмах на тему "Как добавить reiserfs?".

> >> > В любой книге по азам администрирования Unix/Linux.
> AKJ> Это именно _администрирование_ системы, а значит, прерогатива root'a aka
> AKJ> superuser.
> 
> Но ответ был неправильным, т.к. на сегодня "корректный" способ
> выполнения отдельных административных действий пользователем зависит
> от концепции конкретной ОС и даже конкретного дистрибутива.
> 
> Если бы мне нужно было регулярно выполнять такие действия, я бы 1)
> создал в restricted shell скрипт, 2) принадлежащий пользователю root и
> вновь созданной группе restarters, 3) поставил бы ему SUID-бит, 4)
> разрешил бы исполнение членам группы и 5) внес бы в эту группу всех
> пользователей, которым нужно выполнять такие действия.

Ага, а злобный cracker запустил бы этот скрипт в таком environment'е, что
получился бы restarters->root.

> Но это BSD-шный спинномозговой опыт, и что-то мне подсказывает, что в
> ALT Linux это "некошерно" и стОит использовать sudoers или что-то
> рядом.

Если необходимо делегировать (рутовые) права на определенные ресурсы,
например, запуск определенных приложений в определенном контексте, то
лучше всего для этого приспособлен sudo(8).
Хотя бы потому, что он реализует пункты 1)-5) заведомо не хуже, чем это
сделал бы Максим.

Про необходимые в этом случае меры предосторожности см. sudoers(5).
Если не найдете, спрашивайте - вам ответят.


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.com/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.
----------- следующая часть -----------
Было удалено вложение не в текстовом формате...
Имя     : =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Тип     : application/pgp-signature
Размер  : 232 байтов
Описание: =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Url     : <http://lists.altlinux.org/pipermail/community/attachments/20020313/7763d62f/attachment-0008.bin>