Re: [RiminiLUG-General] Debian, gksu e amministrazione del sistema

[Umberto Zappi <uzappi@xxxxxxxxxxxx>]

Il 02 giugno 2010 14.08, Ivan Tarozzi <itarozzi@xxxxxxxxx> ha scritto:
> In riferimento ai dubbi emersi nella serata di ieri volevo aggiornare la
> ML su alcune prove fatte e riassumere un attimo quanto emerso, per
> capire meglio come funziona il tutto. Come potrete vedere ci sono ancora
> alcune cose che proprio non mi sono chiare: [...]
>
>
> Amministrazione:
> ----------------

Vorrei fare una breve analisi sulle necessita' di conoscere o meno la
password di root.

caso 1) Il sistema da amministrare e' in gestione ad una unica persona
(piccoli sistemi, personal computer usato come desktop, sistemi con un
unico amministratore, ecc).
Tipicamente l'amministratore del sistema e' colui che ha installato il
sistema, quindi conosce perfettamente la password di root.
Per poter accedere alle attivita' di amministrazione puo' essere usato
indifferentemente il comando su o sudo
Nel caso l'amministratore debba invocare da un utente non privilegiato
piu' comandi di amministrazione, l'uso di sudo puo' risultare piu'
pratico rispetto a su. Il motivo e' evidente se si considera che alla
prima invocazione del comando sudo viene chiesta la propria password,
dopodiche' viene memorizzato un timestamp (orario di accesso) valido
per 15 minuti (valore di default, ma modificabile). Ad un successivo
comando sudo effettuato entro il termine del timeout non viene
richiesta ulteriormente la password e viene rinnovato il timestamp
(vale a dire che e' possibile digitare un altro comando sudo entro il
timeout di 15 minuti senza che venga nuovamente richiesta la propria
password).

caso 2) Il sistema da amministrare e' in gestione a piu' persone e non
si vuole diffondere la password di root (sistemi di produzione).
Per assurdo potrebbe essere che nessuno conosca la password di root,
in quanto questa e' nota a "pezzi" a 2 o piu' amministratori. Per
autenticarsi come root ognuno degli amministratori immette il proprio
pezzo di password che conosce.
In questo caso l'unico sistema possibile e' usare sudo.
Con sudo e' possibile limitare l'uso di comandi solo a singoli
amministratori o gruppi di persone.
Per es: e' possibile limitare ad alcune persone il comando apt-get per
effettuare solo le installazioni e ad altri la sola rimozione dei
programmi.
Inoltre il comando sudo permette, se programmato, di assumere anche
solo l'identita' di alcuni utenti di sistema per eseguire specifici
comandi

Nota su sudo:
sudo puo' venire configurato (per ciascun utente/gruppo) per
richiedere la password oppure no.
Il fatto di non richiedere la password  non mi sembra una grande idea.

> Per poter eseguire da console i comandi attraverso sudo (utile anche per
> i neofiti se si vogliono seguire passo-passo alcune guide scritte per
> Ubuntu) è necessario inserire manualmente il proprio utente all'interno
> del gruppo sudo (tramite comando da console o interfaccia grafica). per
> farlo occorre naturalmente conoscere la password di root, definita in
> fase di installazione.

Si, root configura sudo (file /etc/sudoers con visudo), definisce
l'uente che deve avere accesso amministrativo al sistema e lo
inserisce nel gruppo sudo o altro gruppo.

>
> [...]
>
> News
> ----
> A seguito di qualche ricerca e test ho visto che esiste il comando
> gksu-properties che consente di selezionare il metodo di autenticazione
> usato da gksu (quindi usato per l'autenticazione via GUI)

In alternativa con l'editor di configurazione si puo' gestire il flag
sudo-mode all'interno di /apps/gksu
Se l'editor di configurazione non e' presente all'interno del menu'
applicazioni/strumenti di sistema, basta andare in editazione del menu
(tasto dx sulla barra del menu) e inserire il flag all'interno di
applicazioni/strumenti di sistema.
L'esecuzione di gksu-properties o dell'editor di configurazione deve
essere fatta con l'account non privilegiato.

>
> [...]
>

-- 
Umberto Zappi