Re: [RiminiLUG-General] Debian, gksu e amministrazione del sistema

[Ivan Tarozzi <itarozzi@xxxxxxxxx>]

Il giorno gio, 03/06/2010 alle 23.36 +0200, Umberto Zappi ha scritto:
> Il 02 giugno 2010 14.08, Ivan Tarozzi <itarozzi@xxxxxxxxx> ha scritto:
> > In riferimento ai dubbi emersi nella serata di ieri volevo aggiornare la
> > ML su alcune prove fatte e riassumere un attimo quanto emerso, per
> > capire meglio come funziona il tutto. Come potrete vedere ci sono ancora
> > alcune cose che proprio non mi sono chiare: [...]
> >
> >
> > Amministrazione:
> > ----------------
> 
> Vorrei fare una breve analisi sulle necessita' di conoscere o meno la
> password di root.
> 
> caso 1) Il sistema da amministrare e' in gestione ad una unica persona
> (piccoli sistemi, personal computer usato come desktop, sistemi con un
> unico amministratore, ecc).
> Tipicamente l'amministratore del sistema e' colui che ha installato il
> sistema, quindi conosce perfettamente la password di root.
> Per poter accedere alle attivita' di amministrazione puo' essere usato
> indifferentemente il comando su o sudo
> Nel caso l'amministratore debba invocare da un utente non privilegiato
> piu' comandi di amministrazione, l'uso di sudo puo' risultare piu'
> pratico rispetto a su. Il motivo e' evidente se si considera che alla
> prima invocazione del comando sudo viene chiesta la propria password,
> dopodiche' viene memorizzato un timestamp (orario di accesso) valido
> per 15 minuti (valore di default, ma modificabile). Ad un successivo
> comando sudo effettuato entro il termine del timeout non viene
> richiesta ulteriormente la password e viene rinnovato il timestamp
> (vale a dire che e' possibile digitare un altro comando sudo entro il
> timeout di 15 minuti senza che venga nuovamente richiesta la propria
> password).
> 
> caso 2) Il sistema da amministrare e' in gestione a piu' persone e non
> si vuole diffondere la password di root (sistemi di produzione).
> Per assurdo potrebbe essere che nessuno conosca la password di root,
> in quanto questa e' nota a "pezzi" a 2 o piu' amministratori. Per
> autenticarsi come root ognuno degli amministratori immette il proprio
> pezzo di password che conosce.
> In questo caso l'unico sistema possibile e' usare sudo.
> Con sudo e' possibile limitare l'uso di comandi solo a singoli
> amministratori o gruppi di persone.
> Per es: e' possibile limitare ad alcune persone il comando apt-get per
> effettuare solo le installazioni e ad altri la sola rimozione dei
> programmi.
> Inoltre il comando sudo permette, se programmato, di assumere anche
> solo l'identita' di alcuni utenti di sistema per eseguire specifici
> comandi
> 

Direi che sono piuttosto concorde con la tua analisi. L'unica cosa che
non sapevo si potesse fare è permettere ad esempio la sola rimozione del
sw o la sola installazione (... davvero non saprei come poter fare - una
volta che do' il permesso di avviare synaptic, o usare apt-get, direi
che l'utente non ha limiti) forse attraverso qualche file cfg di apt?
studierò meglio :)

> Nota su sudo:
> sudo puo' venire configurato (per ciascun utente/gruppo) per
> richiedere la password oppure no.
> Il fatto di non richiedere la password  non mi sembra una grande idea.
> 

concordo


>  [...]
> >
> > News
> > ----
> > A seguito di qualche ricerca e test ho visto che esiste il comando
> > gksu-properties che consente di selezionare il metodo di autenticazione
> > usato da gksu (quindi usato per l'autenticazione via GUI)
> 
> In alternativa con l'editor di configurazione si puo' gestire il flag
> sudo-mode all'interno di /apps/gksu
> Se l'editor di configurazione non e' presente all'interno del menu'
> applicazioni/strumenti di sistema, basta andare in editazione del menu
> (tasto dx sulla barra del menu) e inserire il flag all'interno di
> applicazioni/strumenti di sistema.
> L'esecuzione di gksu-properties o dell'editor di configurazione deve
> essere fatta con l'account non privilegiato.

grazie delle precisazioni!