Завжди моєю ідеологією було те, що, як користувач, ти можеш робити все, що завгодно, на Linux і на все інше, завжди є sudo. sudoдозволяє виконати кілька речей, як деякі інші користувачі, найчастіше це rootстосується системного адміністрування. sudoбув більшим ресурсом переваги - делегувати деякі мої звичайні завдання та привілеї як (root) користувача деяким іншим та допомагати краще керувати моїм часом та іншим часом, не піднімаючи привілеї більше, ніж потрібно. У той же час, саме моя довіра до них зберігає свої записи вsudoersфайл конфігурації. Я не впевнений, чи це може бути пов’язано, але що я можу сказати, це те, що sudo дає вам кращу перспективу безпеки того, хто все і що вони можуть зробити зі своїми надійними привілеями. Навіть якщо щось піде не так, вони несуть відповідальність. (Я завжди можу зробити якийсь підлий пік з інформацією про журнал sudoers, щоб знайти також винуватців). Мої хлопці завжди висловлювали стурбованість мною, що їм доведеться набирати судо для всього, що хотіли зробити з підвищеними привілеями в середовищі Linux. Тут я знайшов те саме питання.
Щоб побачити рішення та мій пошук пошуку альтернатив, я натрапив на управління ресурсами, що базується на ресурсах,RBAC але в іншій країні пригод з Solarisтакими інструментами pfexecтощо. Цей підхід є кращим, оскільки це дозволить зберегти привілеї користувачів уже підвищеними та довірятимуть про совість і настороженість того, що хотіли б зробити сисадміни зі своїми привілеями.
Розглядаючи доступні рішення RBAC та його реалізацію у світі Linux, я натрапив на все
SELinux http://www.ibm.com/developerworks/linux/library/l-rbac-selinux/
grsecurity http://en.wikipedia.org/wiki/Grsecurity
і хоча є деякі інші реалізації, я б розглядав їх у верхньому порядку списку. Впровадження RBAC - це велика робота в організації, особливо коли користувачів багато. RBAC здасться більш широким рішенням в однорідних умовах. Однак, якщо в мережі є неоднорідні установки Unix, а користувацька база даних є загальною, то це, можливо, може вийти з ладу. Оскільки SELinux не масштабується / реалізується на Solaris, а інструменти RBAC / pfexec не реалізуються в Linux. Існують різні підходи для виконання однієї речі. Наприклад: http://blogs.oracle.com/darren/entry/opensolaris_rbac_vs_sudo_howto
Різноманітні мережі можуть не підтримувати цей підхід (однак openrbac можна вважати загальним підходом до реалізації), як sudoers - це єдиний хост-підхід або не здатний до централізованої конфігурації в мережі / домені./etc/sudoersїх потрібно синхронізувати щоразу, коли є зміни. Більш того, під час роботи з файлом sudoers є вимога до бази знань, потрібно розуміти мову політики конфігурації sudoers, щоб не робити помилок і допускати будь-які гранти. RBAC може пропонувати централізований підхід до певної міри, тоді як профілі безпеки можуть бути загальними, додавання / видалення користувача з наданої ролі може здійснюватися з одного місця (тобто місця, де зберігається інформація користувача / passwd / групи домен, як LDAP, NIS або AD). Це також неявно вимагатиме розуміння команд, необхідних для роботи в базі даних RBAC, таких як smexec, smmultiuser, їх мало.
Судо може запропонувати більше кросплатформенний підхід, але все-таки він працює на всіх платформах Unix / подібних платформах, які пропонують налаштування функції. І те, sudoі RBACінше вдасться надати некорінним користувачам певні привілеї, які можна зробити за допомогою надання самого rootпароля. Судо може надати більш тонкий / детальний підхід на аргументах командного рядка, який можна використовувати під час виконання команд і обмежуватися суто тим, яку команду з аргументами можна виконувати з підвищеними привілеями. Хоча RBAC може обмежувати використання команд або двійкових файлів, встановлених, але не мати контролю над аргументами командного рядка. Аудит набагато кращий і побудований в середовищі RBAC, тоді якsudo, це залежить від конфігурації та а також обмежень безпеки, що приймаються (як, наприклад, не надаючи оболонку, а особливо господарям дозволено без будь-яких проблем увійти до інших хостів). Це лише деякі відмінності, які я міг би навести, і в мене особисто є схильність використовувати судо, ніж RBAC, хоча, маючи вказані обмеження, я міг би прийти до виконання певної роботи. Поки RBAC не вирішить усі проблеми для кращої переваги судо, я не думаю, що судо не піде назовні просто.