RHEL 7 (CentOS 7) безопасность / ssh / sshd_config советует требуемый

Не отвечать на большинство ваших вопросов, но слишком долго для комментариев:

1. Причина иметь отдельного пользователя (будь то «администратор» или что-то еще) - это именно еще один слой аутентификации / авторизации (Войдите в систему как пользователь с ключом / паролем, а затем введите другой пароль, чтобы стать корнем) в изображение. Если пользователь не имеет того же UID, что и root, он не имеет тех же прав, что и root, хотя он может иметь большие привилегии, чем «обычный» пользователя.

   Это также позволяет получить доступ к той же учетной записи для разных пользователей - одна учетная запись может быть аутентифицирована с помощью разных клавиш. Это облегчает все возможное, когда у вас есть несколько пользователей (и нескольких машин) - отмены разрешений для одного конкретного пользователя, не прерывая других, это просто вопрос удаления одного входа из авторизованных выходов файла (обычно ~ / .ssh / authorize_keys `. (То же самое, очевидно, держится для прямого корневого доступа, но без дополнительной аутентификации / уровня авторизации.)

   Как для наличия ключей к злоумышленнику: только общественные части ключа (SULHOLS BE) Сервер. Во время фазы аутентификации клиент использует свой закрытый ключ, но не оставляет его нигде на сервере. Таким образом, кто бы ни получит привилегии root на сервере, до сих пор не получают возможности войти в систему в качестве регулярного пользователя ( Это не держит свои частные ключи на указанной машине).

   Для других вещей обычные просмотры:
   Q: «Как вы называете кого-то, кто получает привилегии в корне в вашей системе?»
   A: «Да, сэр».

2. , позволяющий любому пользователю запустить любые команды с привилегиями root, просто подготовив «Sudo» к командной строке является полное злоупотребление sudo . Хотя некоторые люди думают, что это отличная идея, безопасность - это одна из самых глупых вещей, поскольку он на самом деле делает всех системных администратора. Единственное преимущество состоит в том, что один случайно не работает RM -RF / с повышенными привилегиями (так как можно сделать, входящие в систему как ROOT . Но затем мышечная память захватывает, и люди просто начнут использовать sudo повсюду, и только преимущество, в том, что команды могут быть зарегистрированы. Он также побеждает цель вторичных счетов, как правильно заметили.

   Короче говоря: Все = (все) nopasswd: все - это плохое представление ^Tm , вдвойне так на сервере. Пожалуйста, не делай этого.

   Как только вы избавитесь от этого, вдруг часть 1) начинает иметь больше смысла.

CentOS 7 Утверждение безопасности Документ, который я только что опубликовал, может помочь вам, он основан на OpenScap.