Запрет passwd (как запретить пользователью команду passwd?)

[Kagen]

доброго времени суток.. не подскажите, как запретить пользователю (а лучше группе) выполнять команду passwd?

[sash-kan]

всем кроме суперпользователя:
# chmod u-s $(which passwd)
выборочно — отдельная очень длинная история.

[Kagen]

всем кроме суперпользователя:
# chmod u-s $(which passwd)
выборочно — отдельная очень длинная история.

спасибо, так вполне устроит (=
это как я понимаю для любой команды актуально? ))

[sash-kan]

это как я понимаю для любой команды актуально?

нет.
«это» убирает у файла suid-бит, благодаря которому при выполнении этой команды она получает права суперпользователя для возможности записи в /etc/passwd и /etc/shadow. суперпользователь, запуская эту программу, и так имеет необходимые права.

[Kagen]

это как я понимаю для любой команды актуально?

нет.
«это» убирает у файла suid-бит, благодаря которому при выполнении этой команды она получает права суперпользователя для возможности записи в /etc/passwd и /etc/shadow. суперпользователь, запуская эту программу, и так имеет необходимые права.

спасибо буду знать))

[drBatty]

отдельная очень длинная история.

А почему нельзя chmod 510 /usr/bin/passwd
разве тогда никто кроме группы рута не сможет запустить это файл?

[sash-kan]

группы рута

а что, многочисленная группа? я знаю только одного из этой группировки

[drBatty]

группы рута

а что, многочисленная группа? я знаю только одного из этой группировки

Я тоже. Но разве нельзя сделать ещё одного? (вот нет у меня желания на такие эксперименты, но интересно).

[nesk]

доброго времени суток.. не подскажите, как запретить пользователю (а лучше группе) выполнять команду passwd?

По моему, можно просто запретить пользователю менять себе пароль, без запрета запускать команду passwd.

[stannum]

Если нужно чтобы юзеры из определенной группы(например, root) могли изменять свой пароль, нужно:
1. поместить юзера в соответствующую группу
2. снять suid бит с $(which passwd)
3. дать права на запись соответствующей группе в файлы /etc/passwd и /etc/shadow
Должно работать, сам не проверял.

[sash-kan]

3. дать права на запись соответствующей группе в файлы /etc/passwd и /etc/shadow

ничего себе совет.

[DaemonTux]

3. дать права на запись соответствующей группе в файлы /etc/passwd и /etc/shadow

И тогда юзеры смогут править записи как хотят.

[Folderx]

доброго времени суток.. не подскажите, как запретить пользователю (а лучше группе) выполнять команду passwd?

-r-s--x--x 1 root root 15540 Июн 21 2004 /usr/bin/passwd

делаем так

-r-s-----x 1 root noexecute 15540 Июн 21 2004 /usr/bin/passwd

дальше создаём группу noexecute и включаем в неё пользователей которым запрещено запускать программу
(ну это с любой программой будет работать, владелец программы запустит если разрешено)

[stannum]

3. дать права на запись соответствующей группе в файлы /etc/passwd и /etc/shadow

ничего себе совет.

Признаю ошибку, как-то не подумавши сказал
Но зато в man shadow есть кое чего что не было здесь высказано, а именно - запретить смену пароля юзеру можно с помощью параметра MIN_DAYS:

Код: Выделить всё

#passwd -n 99999 <username>

После чего пользователь сможет сменить пароль только через 99999 дней, т.е. не в этой жизни, это точно

[spielmann]

Хм. А если так:

/etc/pam.d/passwd

Код: Выделить всё

#%PAM-1.0
auth       include      system-auth
account    include      system-auth
password   include      system-auth

Используя модуль pam_succeed_if:

Код: Выделить всё

#%PAM-1.0
auth       include      system-auth
account    include      system-auth
password   required     pam_succeed_if.so quiet use_uid uid eq 0
password   include      system-auth

Это позволит менять пароли только пользователю с UID = 0. Остальные получат:

Код: Выделить всё

[test@home ~]$ passwd
Changing password for user test.
Changing password for test
(current) UNIX password:
passwd: Authentication failure

на этапе проверки текущего пароля.

Действует, естественно, только если используется PAM.