alt-linux 7 centaurus. Где посмотреть, какие права и привилегии у юзеров-админо

[Pingvinux]

Короче говоря, если в настройках учётных записей не поставить галочку напротив "входит в группу администраторов", то невозможно будет выполнить команды su, sudo.

А огласите весь список, пжалста где посмотреть на эти самые права простых пользователей и входящих в группу администраторы (кому и что именно дозволено?). И почему нельзя запустить команду su, sudo находясь под обычным пользователем - это очень неудобно. Но, видимо, чем-то объясняется? Какой в этом резон?

[Skull]

Соображения безопасности. См. http://altlinux.org/Control

[berkut_174]

Но, видимо, чем-то объясняется? Какой в этом резон

Ну вообще-то как минимум, если обычному пользователю будет позволен доступ к sudo, то зная свой пароль, он беспрепятсвенно получит доступ куда не следует...
Это правильное поведение.

[Pingvinux]

А я всегда думал, что sudo ждёт пароля рута и более никого. Я ошибался?

[ksa]

А я всегда думал, что sudo ждёт пароля рута и более никого. Я ошибался?

sudo ожидает пароля пользователя, а не рута.

[Speccyfighter]

почему нельзя запустить команду su, sudo находясь под обычным пользователем - это очень неудобно. Но, видимо, чем-то объясняется? Какой в этом резон?

Резон здесь совсем неочевидный для обычного пользователя.
О sudo.
Часто в sudoers используется

Код: [Выделить]

ALL=(ALL) ALL
Такое правило приравнивает sudo пользователя к 'su -'

Простой пользователь не знает о тонкостях безопасности.
timestamp в альтах 5 минут. В каких-то других Линукс всё значительно хуже, - временная метка 15 минут. Пока временная метка не истекла, пароль на sudo запрошен не будет.
Буквально это значает, что если кто-то каким-то образом вломился в ваш аккаунт с вашими правами когда временная метка не истекла и вы не сбросили её принудительно, при правиле указанном выше, атакующий получит неограниченный контроль над системой.

Но например в /etc/sudoers вы можете держать временную метку постоянно обнулённой

Код: [Выделить]

# Host alias specification
Host_Alias LH = имя_хоста

# User alias specification
User_Alias      WHEEL_USERS = %wheel

# Timestamp limit
Defaults:WHEEL_USERS   timestamp_timeout = 0

WHEEL_USERS   LH=(ALL) ALL
и тогда при выполнении каждой sudo-команды, пароль будет запрашиваться всегда (sudo-команды разрешены только на этом хосте для пользователей входящих в группу wheel), если для этой команды в sudoers не стоит NOPASSWD:

Как делать, держать метку обнулённой или с ограниченным таймаутом, вопрос бесконечно философский.

А я всегда думал, что sudo ждёт пароля рута и более никого. Я ошибался?

Как сказал sb, по-умолчанию запрашивается пароль пользователя.
Если конечно в sudoers не добавлено правило запрашивать пароль root.
Например для пользователей RPMINST_USERS:

Код: [Выделить]

Defaults:RPMINST_USERS  rootpw
По умолчанию этого правила в sudoers нет.

[Pingvinux]

Как-то можно сделать так, чтобы network manager запрашивал пароль root'а, а не текущего пользователя?
Зачем это сделано так, что любой пользователь может сам себе сетевых подключений понаклепать?

[berkut_174]

Как-то можно сделать так, чтобы network manager запрашивал пароль root'а, а не текущего пользователя?
Зачем это сделано так, что любой пользователь может сам себе сетевых подключений понаклепать?

Да вроде как только пользователь, который состоит в группе wheel (администраторы) может управлять сетевыми подключениями...

[berkut_174]

Да вроде как только пользователь, который состоит в группе wheel (администраторы) может управлять сетевыми подключениями...

Именно так! Проверил на Simply 7 x64.

[Антон Мидюков]

Как-то можно сделать так, чтобы network manager запрашивал пароль root'а, а не текущего пользователя?

Пароль запрашивает Polkit. Копать надо в его сторону. https://www.altlinux.org/Polkit

[Антон Мидюков]

Попробуйте добавить такое правило polkit:

Код: [Выделить]

polkit.addRule(function(action, subject) {
if (action.id == "org.freedesktop.NetworkManager.settings.modify.system")) {
return polkit.Result.auth_admin;
};
});

[Pingvinux]

Я так понимаю нужно снять галочку "Входит в группу системных администраторов" в настройках учётной записи?
При этом в терминале станет невозможно выполнить команды su, sudo (что лично мне очень неудобно).
И что, нужно делать ещё одного пользователя, который будет входить в группу администраторов и настройки делать от его имени?

[Skull]

Или менять политику через control.

[Антон Мидюков]

Pingvinux, может сформулируете что вы хотите получить? На ваш вопрос, как заставить NetworkManager запрашивать пароль root я ответил. Вы попробовали или вам это решение не подходит? Также по ссылке на вики есть пример как дать право настраивать сетевое соединение для пользователей, находящихся в группе xgrp без запроса пароля. Можно подправить под ваши нужды. Вам что нужно?

[Антон Мидюков]

Попробуйте добавить такое правило polkit:

Этого недостаточно, так как в /etc/polkit-1/rules.d/50-default.rules есть такое правило:

Код: [Выделить]

polkit.addAdminRule(function(action, subject) {
    return ["unix-group:wheel"];
});
auth_admin означает пользователя, находящегося в группе wheel. Чтобы запрашивался пароль root предлагаю добавить правило с большей цифрой, чем 50, например, 99-admin_root.rules с таким содержимым:

Код: [Выделить]

polkit.addAdminRule(function(action, subject) {
    return ["unix-user:root"];
});