sudo o acl o setuid / setgid?

por una razón que realmente no entiendo, todo el mundo quiere sudo para todos y todo. En el trabajo incluso tenemos tantas inputs como hay manera de leer un file de logging (cabeza / queue / gato / más, …).

Creo que sudo está derrotando aquí.

Prefiero usar una mezcla de directorys setgid / setuid y añadir ACL aquí y allá, pero realmente necesito saber cuáles son las mejores prácticas antes de iniciar.

Nuestros serveres tienen% admin,% product,% dba,% users -ie muchos grupos y muchos usuarios. Cada service (mysql, apache, …) tiene su propia forma de instalar privilegios, pero los miembros del grupo de producción% deben poder consultar el file de configuration o incluso los files de logging. Todavía hay la solución para agregarlos a los grupos correctos (mysql …) y establecer el buen permiso. Pero no quiero usermod todos los usuarios, no quiero modificar los permissions de normas, ya que podría cambiar después de cada actualización.

Por otro lado, configurar acls y / o mezclar setuid / setgid en directorys es algo que podría hacer fácilmente sin "desfigurar" la distribución estándar.

Qué piensas sobre esto ?

Tomando el ejemplo de mysql, que se vería así:

setfacl d:g:production:rx,d:other::---,g:production:rx,other::--- /var/log/mysql /etc/mysql 

¿Crees que esto es una buena práctica o debo definir definitivamente usermod -G mysql y jugar con el sistema de permissions estándar?

Gracias

Prácticas recomendadas: mantener el file sudoers y utilizar sudo.

En mi máquina personal, prefiero setuid / gid, pero soy el único en mi computadora; y no lo hago a nada descaradamente peligroso como rm .

Las mejores prácticas (y las más comunes) tienden a usar sudo . Sudo le ofrece un control de grano fino, y la configuration puede manejar múltiples máquinas a la vez.

El uso de ACLs puede complementar este – sudo maneja las operaciones como root; Las ACL dan y quitan derechos a directorys y files a usuarios y grupos. No contaría con setgid y setuid para hacer nada razonable.

También implementaría el grupo de ruedas; esto ayudará a boost la security. Compruebe si el progtwig su admite el grupo de rueda.

Una cosa más: si tienes view o less como una forma de leer un file de logging, entonces estás en riesgo: ambos progtwigs ofrecen acceso a shell.

Me parece que la opción sudoers es un poco más compacta que la setuid / setguid / ACL.

Sin agrupar usuarios, su ACLS será muy larga. Y si haces grupos de usuarios, estás de vuelta al mismo lugar que empezaste.

El problema más importante es que sin algún tipo de administración central del mismo, el control de acceso se difunde por todo el sistema de files. Por supuesto usted puede conseguir alnetworkingedor de eso con macros del IE, el templating, la gerencia del config y así sucesivamente. Pero esa es otra capa que no hace nada para networkingucir la complejidad.

En mi pequeña tienda de Drupal uso ACL bastante extensivamente para todos los files de trabajo pero sudo para todo el acceso de gestión. La capa de administración de configuration que estoy usando es Ansible y lo bueno de eso es que puedo planear fácilmente a los usuarios, sus roles y, por tanto, qué grupos obtienen, en qué máquinas, etc. Sudoers es gestionado de manera similar. Eso me parece una buena práctica porque es más transparente.

Por supuesto, probablemente no tengo cerca de tantos usuarios o grupos como tú. Podría imaginar poner ACLs en la gestión de configuration también. Pero para la vida de mí, no veo una manera directa de manejar muchas máquinas, muchos usuarios, y muchos grupos de esa manera.