Estou usando o servidor Ubuntu 12.04. Se um usuário é apenas membro de seu próprio grupo, por que ele ainda pode fazer su SOME_OTHER_USER ? Posso evitar isso?
Responder1
Encontrei uma solução que gosto muito:
- sudo groupadd nosu
- sudo usermod -a -G nosu NOME DE USUÁRIO
- sudo vi /etc/pam.d/su
- linha de remoção de comentário:
autenticação necessária pam_wheel.so negar grupo = nosu
Responder2
Se você não quiser que um usuário possa executar "su", você pode definir o proprietário dele como "root" e o chmod como 700. Somente o root pode executá-lo.
Se você deseja que os usuários de um grupo especial executem "su", você pode definir o grupo como - digamos - "roda". E o chmod para 770. E coloque todos os usuários que precisam executar "su" no grupo wheel.
Responder3
Posso pensar em duas explicações óbvias:
- O usuário ainda mantém um login que foi criado antes de ser removido de um grupo dando privilégio
- O usuário está listado explicitamente em /etc/sudoers