Forum Linux.général empêcher root d'utiliser un user non local (AD/ldap)

Posté par . Licence CC By‐SA.
Étiquettes : aucune
0
14
jan.
2014

Bonjour,

Ca fais un petit moment que je me prend la tête avec pam pour empêcher l'accès aux utilisateur AD/ldap à root avec un simple su - monuserAD sans y parvenir.

Je sais très bien que ça n’emperchera pas le root mal intentionné de modifier le fichier /etc/pam.d/su pour se re-attribuer ce genre de droit, mais ça limite un petit peu le problème.

Voilà ce que le fichier ressemble sur une redhat/centos : 

#%PAM-1.0
auth sufficient pam_rootok.so
# Uncomment the following line to implicitly trust users in the "wheel" group.
#auth sufficient pam_wheel.so trust use_uid
# Uncomment the following line to require a user to be in the "wheel" group.
#auth required pam_wheel.so use_uid
auth include system-auth
account sufficient pam_succeed_if.so uid = 0 use_uid quiet
account include system-auth
password include system-auth
session include system-auth
session optional pam_xauth.so

Si quelqu'un à une idée de comment parvenir a mes fins ...
Sachant qu'il faut que root puisse continuer à faire des su sur les utilisateurs locaux sans mdp. (principalement à cause de scripts codé comme ça).

Merci d'avance à toutes les moules qui pourront m'aider.

  • # bof

    Posté par (site web personnel) . Évalué à 3.

    Tu l'as dit ça sert pas à grand chose, c'est trop facile à contourner.

    Système - Réseau - Sécurité Open Source - Ouvert à de nouvelles opportunités

    • [^] # Re: bof

      Posté par . Évalué à 4.

      la bonne soluce c'est d'enlever le droit root à ceux qui n'en ont pas besoin, et de le remplacer par su, qui permet de controler plus finement ce que les gens ont le droit ou non de faire.

      L'autre solution c'est de partir sur les MAC (selinux, tomoyo, apparmor) et de restreindre les droits à root sur ce genre d'opérations lors qu'il est appelé dans un certain contexte.

      • [^] # Re: bof

        Posté par . Évalué à 3.

        la bonne soluce c'est d'enlever le droit root à ceux qui n'en ont pas besoin, et de le remplacer par su, qui permet de controler plus finement ce que les gens ont le droit ou non de faire.

        je plussois cette solution
        le logguer en root n'est pas une bonne idée

        donc un sudo bien configuré qui selon les groupes permettront ou pas de faire le su -
        ou certaines commandes sauf su -

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.