Dans certaines situations, vous devez restreindre l'accès su à :
– seul l'utilisateur « oracle » peut passer à un utilisateur particulier (par exemple, passer à l'administrateur par « su - admin » pour maintenir le système), le passage à d'autres utilisateurs entraînera échoue toujours.
– les autres utilisateurs ne peuvent pas accéder à su.
La modification du paramètre PAM par défaut pour su peut atteindre l'objectif. Étapes ci-dessous pour configurer la restriction pour su :
1. Créez un nouveau groupe pour oracle autorisé à exécuter su :
# groupadd adminmembers
2. Ajoutez des utilisateurs (oracle) au groupe :
# usermod -G adminmembers oracle
3. Créez le fichier /etc/security/su-adminmembers-access fichier et ajoutez-y "admin" :
# cat /etc/security/su-adminmembers-access admin
Assurez-vous que /etc/security/su-adminmembers-access n'est accessible en écriture que pour l'utilisateur "root" et pour aucun autre utilisateur.
# ls -l /etc/security/su-adminmembers-access -rw-r--r-- 1 root root 7 Dec 4 12:44 /etc/security/su-adminmembers-access
4. Ajoutez les règles suivantes à /etc/pam.d/su fichier de configuration :
auth required pam_wheel.so use_uid group=adminmembers debug auth required pam_listfile.so item=user sense=allow onerr=fail file=/etc/security/su-adminmembers-access
Avec les deux règles ci-dessus, le changement d'utilisateur par su sera limité à :
- Seul l'utilisateur du groupe "adminmembers" (par exemple, dans ce cas, oracle) peut passer à l'administrateur par "su - admin" avec un mot de passe valide
- Les utilisateurs du groupe "adminmembers" ne peuvent passer à "admin" que par "su - admin", le passage à d'autres utilisateurs échoue toujours
- Les utilisateurs NON du groupe "adminmembers" ne peuvent pas utiliser "su" pour changer d'utilisateur
- L'utilisateur "root" peut toujours passer à n'importe quel autre utilisateur
- Veuillez rappeler que le paramètre ci-dessus ne peut être pris en compte que si vous avez besoin d'une politique su aussi stricte. En général, l'utilisation de sudo est recommandée pour obtenir des politiques de commutation plus adaptatives.