Думаете, с вами такого не случится? Даже опытные администраторы Linux рассказывают жуткие истории о том дне, когда они сделали роковую опечатку или не задумывались над тем, что они делают, работая под именем суперпользователя.
По умолчанию учетная запись суперпользователя отключена в Ubuntu. Это означает, что вы не сможете зайти в систему как root. Однако, инсталлятор настраивает sudo для пользователя, созданного во время установки. Команда sudo позволяет выполнять все приложения, требующие привилегий суперпользователя.
Когда sudo спрашивает пароль, вы должны ввести пароль ВАШЕГО пользователя ! То есть пароль root’a вам не нужен !
Заметки
- Пароль сохраняется по умолчанию на 15 минут. По истечении этого времени, вам нужно будет ввести пароль снова.
- Несмотря на то, что при вводе пароль не отображается на экране (даже в виде звездочек), он все-равно вводится!
- Для выполнения графических конфигурационных утилит с sudo, просто запустите приложение через меню.
- Для запуска программ через sudo, которые обычно запускаются под обычным пользователем (например gedit), нажмите Alt+F2 и введите gksudo gedit. В Kubuntu используйте вместо gksudo программу kdesu.
- Использование sudo в командной строке:
Пример #1 — смена пользователя и группы для файлов в домашней папке пользователя
Как запретить пользователям устанавливать ПРОГРАММЫ и приложения в Windows 10 / 8 / 7 вариант 2
sudo chown bob:bob /home/bob/*
Пример #2 — перезапуск сетевых служб
sudo /etc/init.d/networking restart
- Для запуска графических программ используйте gksudo или kdesu, иначе попытка входа может провалиться. Если это происходит и при входе вылазит ошибка: «Unable to read ICE authority file», войдите в безопасный терминал и выполните следующую команду, подставив своё имя пользователя:
rm /home/user/.authority
- Для запуска режима суперпользователя в терминале (root shell, т.е. командная строка, где вы можете выполнять команды под пользователем root), запустите терминал и выполните команду:
sudo -i (эквивалент команды «sudo su -«)
- Для запуска режима суперпользователя, оставив текущие переменные окружения, введите:
sudo -s (эквивалент команды «sudo su»)
- Вход под другим пользователем (для графического входа, используйте что-то типа gdmflexiserver):
sudo -i -u username
Разрешение другим пользователям использовать sudo
Чтобы разрешить пользователю использовать sudo, откройте Система → Администрирование → Пользователи и группы. Затем выберите пользователя и нажмите на кнопке Свойства. В появившемся окне зайдите на вкладку Привилегии пользователя и поставьте галочку Администрировать систему.
Аналог этой же процедуры в терминале: sudo adduser $user admin, где $user — имя пользователя.
Преимущества использования sudo
- Программа установки задаёт меньше вопросов.
- Пользователям не нужно запоминать дополнительный пароль, который они могут забыть.
- Перед тем как произойдёт выполнение команды, вас попросят ввести пароль. Это даст время подумать о возможных последствиях.
- sudo добавляет в лог выполненные команды (/var/log/auth.log).
- Все попытки взломщиков, пытающихся подобрать пароль к root, будут обречены на провал.
- sudo позволяет легко предоставлять права администратора на долгий или короткий период другим пользователям, просто добавляя и удаляя их из группы, при этом не трогая корневую учетную запись.
- sudo можно настроить с более fine-grained политикой безопасности.
- Аутентификация автоматически истекает по окончании определенного промежутка времени.
Минусы использования sudo
- Redirecting the output of commands run with sudo can catch new users out. For instance consider sudo ls > /root/somefile will not work since it is the shell that tries to write to that file. You can use ls | sudo tee -a /root/somefile to append, or ls | sudo tee /root/somefile to overwrite contents. You could also pass the whole command to a shell process run under sudo to have the file written to with root permissions, such as sudo bash -c «ls > /root/somefile».
- Во многих офисных системах только один локальный пользователь в системе root. Все остальные пользователи импортируются через NSS технологии, такие как nss-ldap. Для настройки рабочей станции в случае повреждения сети, при поломке nss-ldap, необходим root. This tends to leave the system unusable unless cracked. An extra local user, or an enabled root password is needed here.
Заблуждения
- Разве sudo не менее безопасно, чет su?
- Основая модель безопасности одинакова в обоих случаях, поэтому и уязвимость будет одинаковой. Любой пользователь, использующий su или sudo рассматривается как привилегированный пользователь. If that user’s account is compromised attby an attacker, the attacker can also gain root privileges the next time the user does so. The user account is the weak link in this chain, and so must be protected with the same care as root. On a more esoteric level, sudo provides some features which encourage different work habits, which can positively impact the security of the system. sudo is commonly used to execute only a single command, while su is generally used to open a shell and execute multiple commands. The sudo approach reduces the likelihood of a root shell being left open indefinitely, and encourages the user to minimize their use of root privileges.
- Вам потребуется ввести пароль для этого. Console users have access to the boot loader, and can gain administrative privileges in various ways during the boot process. For example, by specifying an alternate init(8) program. Linux systems are not typically configured to be secure at the console, and additional steps (for example, setting a root password, a boot loader password and a BIOS password) are necessary in order to make them so. Note that console users usually have physical access to the machine and so can manipulate it in other ways as well.
Возврат к традиционной учетной записи root
Не рекомендуется это делать!
Как вернуть права администратора на Windows 10, если НЕТ другого Администратора
Consider using the below command instead:
sudo -i
Использование этой команды временно откроет консоль с правами root. Активация аккаунта root в Ubuntu не поддерживается из-за ненадобности. Всё, что вам требуется сделать с правами администратора в Ubuntu можно сделать через sudo или gksudo.
Если root включен, и вы хотите отключить его, откройте терминал и введите следующую команду:
sudo passwd -l root
Drag gnome-open %u»
Теперь при перетаскивании любого файла на эту кнопку, будет запущено ассоциированное с этим файлом приложение с привилегиями суперпользователя. Это особенно удобно при редактировании конфигурационных файлов.
RootSudoRu (последним исправлял пользователь SOL-FTTB 2010-06-01 09:56:33)
The material on this wiki is available under a free license, see Copyright / License for details
You can contribute to this wiki, see Wiki Guide for details
Источник: help.ubuntu.com
Как ограничить круг приложений, доступных для запуска пользователям Windows 7
В этой статье я расскажу, как разрешить пользователям запускать лишь строго определенные приложения, воспользовавшись для этого Редактором групповой политики Windows 7.
Первым делом нужно запустить Редактор групповой политики. В меню этой утилиты, конечно, нет. Вместо этого нужно выполнить в строке поиска меню «Пуск» (Start) команду gpedit.msc. Появится обманчиво простое окно, показанное на рис. A.
Рисунок A. С помощью Редактора групповой политики можно отрегулировать целый ряд системных параметров. Не изменяйте никаких настроек, если не знаете, зачем они нужны.
Теперь нужно найти раздел, в котором содержатся интересующие нас настройки. Это «Конфигурация пользователя | Административные шаблоны | Система» (User Configuration | Administrative Templates | System). Выделите раздел «Система», чтобы увидеть в правой панели список доступных опций (рис. B).
Рисунок B. Найдите в правой панели опцию «Выполнять только указанные приложения Windows» (Run Only Specified Windows Applications).
Дважды щелкните на объекте «Выполнять только указанные приложения Windows», чтобы открыть окно настроек (рис. C). В открывшемся окне выберите опцию «Включить» (Enabled), после чего станет активной кнопка «Показать» (Show).
Рисунок C. В этом окне можно также добавить комментарий с указанием, когда и какие настройки были применены. Эти сведения могут в дальнейшем пригодиться при диагностике проблем.
Шаг четвертый
Теперь нажмите кнопку «Показать», чтобы вызвать окно для составления списка разрешенных к запуску приложений (рис. D). В этом окне введите имена исполняемых файлов разрешенных программ (включая расширение) — по одному на строку.
Рисунок D. Не забудьте включить в список все необходимые для работы программы, иначе настройки потом придется редактировать.
Составив список, нажмите «OK», чтобы закрыть это окно, а потом снова «OK», чтобы закрыть окно настроек политики. На этом ваша задача успешно выполнена.
Теперь, если пользователь попытается запустить приложение, которое не входит в список разрешенных, он увидит предупреждение: «Операция отменена вследствие действующих для компьютера ограничений. Обратитесь к администратору сети» (The operation has been cancelled due to restrictions in effect on this computer. Please contact your system administrator).
В заключение
Разумеется, это не идеальное решение, и опытные пользователи с легкостью найдут способ обойти установленные ограничения. Но для среднестатистических пользователей таких настроек будет более чем достаточно. Стоит также учитывать, что этим способом нельзя запретить запуск системных процессов, поэтому опытные пользователи смогут самостоятельно запустить Редактор групповой политики и отредактировать список. Однако в целом это поможет избежать запуска нежелательных программ в большинстве случаев.
Оцените статью: Голосов
Источник: www.winblog.ru
Как разрешить всем пользователям запускать программу
В Windows нет такого понятия, как SUID-бит, используемый в Unix/Linux. Однако, существует возможность запускать избранные программы от администратора, находясь в системе под обычным пользователем. При этом, при запуске программы, ввода пароля пользоваателем не требуется.
К сожалению, описанный ниже подход работает не всегда. Например, не удалось запустить программу «Атомсмета».
Краткое описание идеи: создается задание в пранировщике заданий, причем ему не указывается время выполнения. В настройках задания указывается, что оно должно выпониться от имени администратора. Потом создается ярлык на рабочем столе, содержащий команду запуска данного задания.
Запускаем планировщик заданий (Пуск — Все программы — Стандартные — Служебные — Планировщик заданий) и нажимаем «Создать задачу»:
Указываем Имя для новой задачи и ставим флажок «Выполнять с наивысшими правами»:
Переходим на вкладку Действия, нажимаем «Создать», в следующем окне нажимаем «Обзор»:
Указываем путь к нужному приложению и нажимаем «Открыть»:
Закрываем планировщик и переходим к созданию ярлыка. Чтобы создать ярлык на рабочем столе, щёлкаем правой клавишей мыши, выбираем «Создать» — «Ярлык»:
В поле Расположение объекта вводим:
schtasks /run /tn cmd_admin
где cmd_admin — имя созданной нами задачи. Если имя содержит пробелы, его необходимо указывать в кавычках.
Задаём название ярлыка. Ярлык создан и готов к использованию.
Чтобы сменить значок — нажмите правой клавишей мыши по ярлыку, выберите «Свойства»:
Теперь запуск нужного приложения от имени администратора выполняется двойным щелчком по созданному ярлыку, при этом запрос UAC не отображается и безопасность остаётся в сохранности.
- Что делать если значки рабочего стола в Windows 7 перестают перемещаться
- Windows 7: Как разрешить запуск избранного приложения под правами администратора
- Как активировать Microsoft Windows 7 по телефону вручную (принудительно по телефону)
- Какие русскоязычные форумы по Windows есть в рунете
Источник: webhamster.ru