как запретить логинитысь под root

[tjoma]

Добрый всем день!
как запретить логинитысь под root на прямую (с консоли и графикы) и также локально ,
а также как скрыть видение сервера с внешнего мира

[Bizdelnick]

как запретить логинитысь под root

passwd -l root
В SUSE не забудьте предварительно настроить sudo на использование пароля пользователя, а не рутового.

а также как скрыть видение сервера с внешнего мира

А на кой нужен сервер, которого снаружи не видно?

[tjoma]

как запретить логинитысь под root

passwd -l root

а также как скрыть видение сервера с внешнего мира

А на кой нужен сервер, которого снаружи не видно?

Я поднимаю сервер для внутренних нужд фирмы и видение его ненужно

[Bizdelnick]

Значит, Вы забыли описать, что есть "внешний мир", а что - "внутрений". Подробно описать, если хотите подробного ответа, а не "см. man iptables".

[tjoma]

В SUSE не забудьте предварительно настроить sudo на использование пароля пользователя, а не рутового.

В смысле можно поточнее я с "как запретить логинитысь под root на прямую (с консоли и графикы) и также локально " разобрался оказывается надо было в файле /etc/sysconfig/displaymanager и в etc/gdm/*.conf запрет поставить, а вот для запрету выполнения sudo и su для некоторых юзеров невыходить. Добавление разрешенных пользователей в wheel ничего не дало все равно пускает всех пользователей. пробовал править sudoers также ничего этим недобився где-то допускаю ошибку.

[Bizdelnick]

Приведёная мной команда блокирует вход root по паролю, неважно каким образом. Для администрирования надо оставить лазейку - sudo с паролем пользователя, а не root, как в сусях по умолчанию. Покажите, что там в sudoers.

[Hephaestus]

В смысле можно поточнее

Вам выше предлагалось такое решение: заблокировать рута (в итоге он логиниться не сможет, совсем никак), а поскольку рут войти не может, то для выполнения административных задач надо настроить sudo.
С первой частью задачи Вы справились.

Теперь по второй части.
Запрещать пользователям запуск sudo не требуется - оно и так запрещено по умолчанию.
Запуск sudo будет доступен только тем пользователям, кто прописан в /etc/sudoers (выполнение конкретных команд для конкретных пользователей) либо пользователи должны быть добавлены в группу wheel или группу sudo. В файле sudoers нужно раскоментировать соответствующую строку.
Проверяйте sudoers и смотрите, что ничего не забыто.

sudoers лучше править с помощью команды visudo - она проверяет правильность синтаксиса. Разумеется, для этого нужны права рута.

P.S. Пока писал, Bizdelnick уже ответил.

[tjoma]

# sudoers file.
#
# This file MUST be edited with the 'visudo' command as root.
# Failure to use 'visudo' may result in syntax or file permission errors
# that prevent sudo from running.
#
# See the sudoers man page for the details on how to write a sudoers file.
#

# Host alias specification

# User alias specification

# Cmnd alias specification

# Defaults specification

# Prevent environment variables from influencing programs in an
# unexpected or harmful way (CVE-2005-2959, CVE-2005-4158, CVE-2006-0151)
Defaults always_set_home
Defaults env_reset
# Change env_reset to !env_reset in previous line to keep all environment variables
# Following list will no longer be necessary after this change

Defaults env_keep = "LANG LC_ADDRESS LC_CTYPE LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE LC_TIME LC_ALL LANGUAGE LINGUAS XDG_SESSION_COOKIE"
# Comment out the preceding line and uncomment the following one if you need
# to use special input methods. This may allow users to compromise the root
# account if they are allowed to run commands without authentication.
#Defaults env_keep = "LANG LC_ADDRESS LC_CTYPE LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE LC_TIME LC_ALL LANGUAGE LINGUAS XDG_SESSION_COOKIE XMODIFIERS GTK_IM_MODULE QT_IM_MODULE QT_IM_SWITCHER"

# In the default (unconfigured) configuration, sudo asks for the root password.
# This allows use of an ordinary user account for administration of a freshly
# installed system. When configuring sudo, delete the two
# following lines:
Defaults targetpw # ask for the password of the target user i.e. root
ALL ALL=(ALL) ALL # WARNING! Only use this together with 'Defaults targetpw'!

# Runas alias specification

# User privilege specification
root ALL=(ALL) ALL

# Uncomment to allow people in group wheel to run all commands
# %wheel ALL=(ALL) ALL

# Same thing without a password
# %wheel ALL=(ALL) NOPASSWD: ALL

# Samples
# %users ALL=/sbin/mount /cdrom,/sbin/umount /cdrom
# %users localhost=/sbin/shutdown -h now

[tjoma]

4.4.3. Ограничение доступа root

Вместо того, чтобы полностью закрывать доступ пользователю root, администратор может разрешить доступ только к программам setuid, например, к su или sudo.
4.4.3.1. Команда su

Когда пользователь выполняет команду su, ему предлагается ввести пароль root, и после проверки он попадает в приглашение оболочки root.

Зарегистрировавшись с помощью команды su, пользователь является пользователем root и имеет все права администратора системы. Кроме этого, если пользователь стал root, с помощью команды su он может стать любым другим пользователем системы, не зная его пароля.

Учитывая мощь этой программы, администраторам в организациях, возможно, захочется ограничить круг лиц, имеющих к ней доступ.

Проще всего это можно сделать, добавив пользователей в специальную административную группу wheel. Для этого выполните от имени root следующую команду: usermod -G wheel <username>


В этой команде замените <username> именем пользователя, которого вы хотите добавить в группу wheel.

Чтобы проделать то же самое с помощью Менеджера пользователей, выберите в меню Приложения (на панели) => Системные параметры => Пользователи и группы или введите в приглашении оболочки команду system-config-users. Перейдите на вкладку Пользователи, выберите пользователя из списка и щёлкните в меню кнопки Свойства (или выберите в главном меню Файл => Свойства).

Затем перейдите на вкладку Группы и отметьте группу wheel, как показано на рисунке 4-2.



Рисунок 4-2. Вкладка Группы

Затем откройте файл настройки PAM для команды su (/etc/pam.d/su) в текстовом редакторе и уберите комментарий [#] в следующей строке: auth required /lib/security/$ISA/pam_wheel.so use_uid


Сделав, это вы откроете доступ к этой программе только пользователям группы администраторов wheel.
Замечание

Пользователь root по умолчанию включён в группу wheel.

4.4.3.2. Команда sudo

Команда sudo предоставляют другую возможность получить права администратора. Когда доверенные пользователи указывают перед административной командой sudo, им предлагается ввести их собственный пароль. Затем, если его подлинность подтверждается и ему разрешена данная команда, эта команда будет выполняться, как будто она запущена пользователем root.

Общий формат команды sudo показан ниже: sudo <command>


В этом примере <command> нужно заменить командой, обычно выполняемой пользователем root user, например, mount.
Важно

Пользователи, запускающие команду sudo должны быть очень внимательны и, покидая свой компьютер, выходить из системы, так как если выполнить эту команду ещё раз в течение пяти минут, она не спросит пароль. Эту настройку можно изменить в файле конфигурации /etc/sudoers.


Команда sudo даёт большую гибкость. Например, только пользователи, перечисленные в файле /etc/sudoers, могут выполнить команду sudo, и эта команда будет выполнена в оболочке пользователя, а не root. Это значит, что оболочка root может быть полностью отключена, как описано в разделе 4.4.2.1 Отключение оболочки root.

Команда sudo также ведёт исчерпывающий аудит. Каждая успешная попытка входа регистрируется в файле /var/log/messages, а выполненная команда, вместе с именем выполняющего её пользователя в файле /var/log/secure.

Другим преимуществом команды sudo является то, что администратор может открыть пользователям доступ только к нужным им командам.

Администраторы, желающие отредактировать файл конфигурации sudo, /etc/sudoers, должны использовать команду visudo.

Чтобы дать кому-то все привилегии администратора, введите visudo и добавьте в раздел привилегий пользователя примерно такую строку: juan ALL=(ALL) ALL


В этом примере пользователь juan может использовать sudo с любого компьютера и выполнить любую команду.

В приведённом ниже примере показано, как можно очень тонко настраивать sudo: %users localhost=/sbin/shutdown -h now


В данном примере любой пользователь, работающий на консоли, может выполнить команду /sbin/shutdown -h now.

Подробное описание параметров этого файла можно найти на странице man sudoers.

[Bizdelnick]

Закомментируйте эти строки:

Код: Выделить всё

Defaults targetpw # ask for the password of the target user i.e. root
ALL ALL=(ALL) ALL # WARNING! Only use this together with 'Defaults targetpw'!

и раскомментируйте эту:

Код: Выделить всё

# %wheel ALL=(ALL) ALL

После этого пользователи из группы wheel смогут выполнять команды от имени root (или любого другого пользователя) по своему паролю. Тогда можно добавить юзера-админа в эту группу и спокойно заблокировать root.

[tjoma]

Закомментируйте эти строки:

Код: Выделить всё

Defaults targetpw # ask for the password of the target user i.e. root
ALL ALL=(ALL) ALL # WARNING! Only use this together with 'Defaults targetpw'!

и раскомментируйте эту:

Код: Выделить всё

# %wheel ALL=(ALL) ALL

После этого пользователи из группы wheel смогут выполнять команды от имени root (или любого другого пользователя) по своему паролю.

Я об этом и думал но лучше спросить умных людей чем експерементірувати в даной ОС

[Bizdelnick]

Не знаю, зачем было копипастить сюда эту простыню, но так лучше не делать:

Проще всего это можно сделать, добавив пользователей в специальную административную группу wheel. Для этого выполните от имени root следующую команду: usermod -G wheel <username>

При этом wheel станет единственной дополнительной группой пользователя, другие удалятся. Чтобы этого не произошло, надо добавлять группу так: usermod -aG wheel <username>.

[tjoma]

Не знаю, зачем было копипастить сюда эту простыню, но так лучше не делать:

Проще всего это можно сделать, добавив пользователей в специальную административную группу wheel. Для этого выполните от имени root следующую команду: usermod -G wheel <username>

При этом wheel станет единственной дополнительной группой пользователя, другие удалятся. Чтобы этого не произошло, надо добавлять группу так: usermod -aG wheel <username>.

это был фрагмент мана по которому у меня не все получилось http://www.rhd.ru/docs/manuals/enterprise/...privileges.html

[tjoma]

Закомментируйте эти строки:

Код: Выделить всё

Defaults targetpw # ask for the password of the target user i.e. root
ALL ALL=(ALL) ALL # WARNING! Only use this together with 'Defaults targetpw'!

и раскомментируйте эту:

Код: Выделить всё

# %wheel ALL=(ALL) ALL

После этого пользователи из группы wheel смогут выполнять команды от имени root (или любого другого пользователя) по своему паролю. Тогда можно добавить юзера-админа в эту группу и спокойно заблокировать root.

Но мне надо ограничить большенство пользователей для выполнения su - i
sudo а не пользователи из группы wheel смогут выполнять команды от имени root (или любого другого пользователя) по своему паролю.

[Hephaestus]

а не пользователи из группы wheel смогут выполнять команды от имени root

Не смогут.
su для них не будет работать, ибо заблокирован root, а sudo для них не будет работать, ибо их нет в sudoers и группе wheel.

Но мне надо ограничить большенство пользователей для выполнения su - i

Они и так ограничены. ВСЕ. Могут только те, кому разрешили в sudoers.

[tjoma]

а не пользователи из группы wheel смогут выполнять команды от имени root

Не смогут.
su для них не будет работать, ибо заблокирован root, а sudo для них не будет работать, ибо их нет в sudoers и группе wheel.

Но мне надо ограничить большенство пользователей для выполнения su - i

Они и так ограничены. ВСЕ. Могут только те, кому разрешили в sudoers.

нэт каким-то образом пропускает всех через su даже если их нет в sudoers и группе wheel.

[Bizdelnick]

каким-то образом пропускает всех через su даже если их нет в sudoers и группе wheel.

Вы это сделали?

passwd -l root

[tjoma]

каким-то образом пропускает всех через su даже если их нет в sudoers и группе wheel.

Вы это сделали?

passwd -l root

нет мне нужно чтобы пользователи входящие в группу wheel могли логинытысь по su в root а так я понимаю под root не залогиныться ни кто

[Bizdelnick]

нужно чтобы пользователи входящие в группу wheel могли логинытысь по su в root

Группа wheel к su абсолютно никакого отношения не имеет. su работает для вех юзеров одинаково. Или запрещаете логин рутом, или su будет работать, третьего не дано.
И что за странное требование - логиниться непременно через su? sudo -i не устраивает? Или sudo su?

[Hephaestus]

нет мне нужно чтобы пользователи входящие в группу wheel могли логинытысь по su в root

Почему непременно su? sudo умеет всё то же, что и su плюс ещё кое-что.
Более того, если у Вас несколько пользователей, кому надо дать права рута, sudoers позволит для них разграничить обязанности, то есть определить более точно, что именно они могут запускать (вплоть до опций конкретных команд). Включать несколько пользователей в группу wheel смысла особого нет, обычно достаточно одного.

[tjoma]

Мне поставлена задача руководством компании чтобы под root могли залогиниться 2 usera я и руководитель компании в любой форме или su или sudo. Для sudo Вы мне подсказали как сделать ,а тогда как для su? Нам не нужно чтобы от любого пользователя можно было залогиниться по su в root, хотя пароля root пользователи незнають, но так требует политика безопасности компании

[Hephaestus]

Для sudo Вы мне подсказали как сделать ,а тогда как для su?

Для su тогда не нужно. При правильно настроенном sudo использование su не имеет смысла. Поэтому учётка root может быть заблокирована совершенно безболезненно.

[Bizdelnick]

как для su?

Я уже написал: sudo -i, что работает аналогично su -, или sudo su, если стоит идиотское требование использовать именно su. Хотя на самом деле потребности в этом практически никогда не возникает, и вообще от сидения под рутом одни неприятности.

[tjoma]

есть мануал по su ка по команде в 2 части ничего не делает

Ограничение доступа root

Вместо того, чтобы полностью закрывать доступ пользователю root, администратор может разрешить доступ только к программам setuid, например, к su или sudo.
1. Команда su

Когда пользователь выполняет команду su, ему предлагается ввести пароль root, и после проверки он попадает в приглашение оболочки root.

Зарегистрировавшись с помощью команды su, пользователь является пользователем root и имеет все права администратора системы. Кроме этого, если пользователь стал root, с помощью команды su он может стать любым другим пользователем системы, не зная его пароля.

Учитывая мощь этой программы, администраторам в организациях, возможно, захочется ограничить круг лиц, имеющих к ней доступ.

Проще всего это можно сделать, добавив пользователей в специальную административную группу wheel.

2. Затем откройте файл настройки PAM для команды su (/etc/pam.d/su) в текстовом редакторе и уберите комментарий [#] в следующей строке: auth required /lib/security/$ISA/pam_wheel.so use_uid
Сделав, это вы откроете доступ к этой программе только пользователям группы администраторов wheel.

Замечание
Пользователь root по умолчанию включён в группу wheel.

[Hephaestus]

Проще всего это можно сделать, добавив пользователей в специальную административную группу wheel.

2. Затем откройте файл настройки PAM для команды su (/etc/pam.d/su) в текстовом редакторе и уберите комментарий [#] в следующей строке: auth required /lib/security/$ISA/pam_wheel.so use_uid
Сделав, это вы откроете доступ к этой программе только пользователям группы администраторов wheel.

Ну так с этого надо было начинать.
Стало быть, Вы сделали по этой инструкции и оно не работает так, как ожидалось. Правильно понимаю?
Первое, что приходит на ум - проверьте наличие нужной библиотеки и пути к ней.
Второе - не уверен, но вроде для вступления настроек в силу нужен перезапуск этого самого PAM'a. Сделайте перезагрузку на всякий случай.
Третье - если команда не отработала, должны остаться следы в логах.

[Bizdelnick]

Сочувствую, но ничем помочь не могу. Вы хотите странного, а мануал у Вас от другого дистрибутива допотопной версии.

[Женя Подсыпальников]

хотя пароля root пользователи незнають, но так требует политика безопасности компании

O... Можа su переименовать и запретить его обновление ?

[tjoma]

я видел на одной фирме, один умелец такое реализовал, правда на sles11sp1, но как он это сделал не сказал и уехал неизвестно куда

[Женя Подсыпальников]

...ещё - бывают права на исполнение файла su,
определённым пользователям ли группам, как я помню

[tjoma]

...ещё - бывают права на исполнение файла su,
определённым пользователям ли группам, как я помню

пробовал полная нерозбириха получается ,менял группу root к wheel то потом обще под su не пускало,восстановления делал