Comment empêcher les utilisateurs de Sudo de changer le répertoire / etc
Nous avons une machine Ubuntu 14.04 dans notre laboratoire et mon plan est de restreindre la modification de tout élément du répertoire /etc par les utilisateurs disposant du privilège Sudo afin que seul l'utilisateur root puisse modifier les fichiers de configuration.
Existe-t-il un logiciel pour appliquer ce type de stratégie, comme dans Windows Server?
Non, il n'y a pas de logiciel pour ça. Et s'il y avait un utilisateur "Sudo", il serait possible de revenir sur ce que ce logiciel a changé pour un utilisateur ne pouvant rien changer dans /etc.
Si vous ne faites pas confiance à vos utilisateurs, n'en faites pas un utilisateur "Sudo" et créez-leur des utilisateurs réguliers.
Ok, mon plan est de permettre à l'utilisateur de tuer le processus, de redémarrer tous les services, de monter, de changer les permissions et le propriétaire, de faire un down/up, un vagabond, etc.
Mais cela n’a rien à voir avec le fait de ne pas pouvoir changer /etc: vous pouvez avoir un utilisateur régulier avec une puissance élevée afin qu’il puisse utiliser des commandes spécifiques nécessitant "Sudo" sans être administrateur sur cette machine. Exemple: attribution d'un privilège Sudo limité à un utilisateur Si vous le configurez comme ceci, vous ne pourrez rien modifier dans /etc à moins que vous ne créiez une commande. Mais si vous croyez que c'est une bonne idée de pouvoir faire n'importe quoi, excepté le changement de fichiers dans /etc, la liste sera très longue.
Attention cependant: il est facile d'ajouter des commandes en conflit. Voir le commentaire de msalters par exemple.
ou vous pouvez essayer de chattr + Rais/etc il refusera toutefois toute modification du dossier/etc par quiconque aussi, et vous devrez demander à quiconque met à jour/configure les éléments du système de chattr -Rais le dossier avant de le faire. Cependant, ce n'est pas vraiment une solution, on peut annuler les changements s'il sait comment faire. Si vous ne faites pas confiance aux utilisateurs, je vous conseillerais d'installer "rootsh" - c'est une application qui enregistre TOUT ce qu'un utilisateur fait, y compris sa sortie.