Itu selalu menjadi ideologi saya bahwa, sebagai pengguna Anda dapat melakukan apa pun yang Anda inginkan di Linux dan untuk yang lainnya, selalu ada sudo. sudomemungkinkan untuk mengeksekusi beberapa hal seperti beberapa pengguna lain, paling sering kasus seperti rootuntuk administrasi sistem. sudotelah menjadi sumber daya keuntungan yang lebih besar untuk mendelegasikan beberapa tugas rutin dan hak istimewa saya sebagai pengguna (root) ke beberapa orang lain dan membantu mengatur waktu saya dan waktu orang lain dengan lebih baik tanpa meningkatkan hak istimewa lebih dari apa yang diperlukan. Pada saat yang sama, kepercayaan saya pada mereka yang membuat entri mereka tetap ada disudoersfile konfigurasi. Saya tidak yakin apakah itu dapat dikaitkan tetapi yang dapat saya katakan adalah bahwa, sudo memang memberi Anda perspektif keamanan yang lebih baik tentang siapa semua dan apa yang dapat mereka lakukan dengan hak istimewa tepercaya mereka. Bahkan jika terjadi kesalahan, mereka tetap bertanggung jawab. (Saya selalu dapat melakukan beberapa licik dengan informasi log sudoers untuk menemukan penyebabnya juga). Teman-teman saya selalu menyatakan keprihatinan mereka kepada saya bahwa mereka harus mengetikkan sudo untuk semua yang ingin mereka lakukan dengan hak istimewa yang tinggi di lingkungan Linux. Di sini saya menemukan pertanyaan yang sama juga.
Untuk melihat solusi dan pencarian saya untuk menemukan alternatif, saya menemukan Kontrol Akses Berbasis Sumberdaya RBAC tetapi di tanah petualangan lain Solarisdengan alat-alat seperti pfexecdll. Pendekatan ini lebih baik karena ini akan menjaga hak-hak pengguna yang sudah meningkat dan akan percaya pada hati nurani dan kewaspadaan dari apa yang sysadmin ingin lakukan dengan hak istimewa mereka.
Mempertimbangkan solusi yang tersedia dari RBAC dan implementasinya di dunia Linux, saya tersandung
SELinux http://www.ibm.com/developerworks/linux/library/l-rbac-selinux/
grsecurity http://en.wikipedia.org/wiki/Grsecurity
dan sementara ada beberapa implementasi lain, saya akan mempertimbangkan mereka di urutan teratas daftar. Menerapkan RBAC adalah banyak pekerjaan dalam suatu organisasi, terutama ketika ada banyak pengguna. RBAC akan terdengar solusi yang lebih besar di lingkungan yang homogen. Namun, ketika ada instalasi Unix heterogen di jaringan dan database pengguna adalah umum, maka ini mungkin akan gagal. Karena SELinux tidak scalable / diimplementasikan pada Solaris dan alat RBAC / pfexec tidak diimplementasikan di Linux. Ada berbagai pendekatan untuk melakukan satu hal. Misalnya: http://blogs.oracle.com/darren/entry/opensolaris_rbac_vs_sudo_howto
Instalasi jaringan yang berbeda mungkin tidak mendukung pendekatan ini (namun openrbac dapat dianggap sebagai pendekatan implementasi umum) seperti sudoers adalah pendekatan host tunggal atau tidak mampu melakukan konfigurasi terpusat dalam jaringan / domain./etc/sudoersperlu disinkronkan setiap kali ada perubahan. Selain itu, ada persyaratan basis pengetahuan saat mengoperasikan file sudoers, diperlukan untuk memahami bahasa kebijakan dari konfigurasi sudoers untuk tidak membuat kesalahan dan mengizinkan hibah. RBAC dapat menawarkan pendekatan terpusat sampai batas tertentu, sementara profil keamanan dapat umum, menambah / menghapus pengguna dari peran yang diberikan dapat dilakukan dari satu tempat (yaitu tempat penyimpanan informasi pengguna / sandi / grup untuk domain seperti LDAP, NIS atau AD). Ini juga secara implisit perlu memahami perintah yang diperlukan untuk beroperasi pada basis data RBAC seperti smexec, smmultiuser, menjadi sedikit.
Sudo mungkin menawarkan lebih banyak pendekatan lintas-platform di sini yang masih berfungsi pada semua platform Unix / like yang menawarkan fitur setuid. Baik sudodan RBACberhasil memberi pengguna non-root beberapa hak istimewa yang dapat dilakukan tanpa memberikan rootkata sandi itu sendiri. Sudo dapat memberikan pendekatan yang lebih halus / granular pada argumen baris perintah yang dapat digunakan saat menjalankan perintah dan membatasi murni pada perintah apa dengan argumen yang dapat dijalankan dengan hak istimewa yang ditingkatkan. Sementara RBAC dapat membatasi untuk menggunakan hingga perintah atau binari yang diinstal tetapi tidak memiliki kontrol atas argumen baris perintah. Audit jauh lebih baik dan terintegrasi di lingkungan RBACsudo, itu tergantung pada konfigurasi dan juga kendala keamanan yang diambil (seperti tidak memberikan shell dan terutama host diizinkan untuk masuk ke host lain tanpa masalah). Ini hanya beberapa perbedaan yang bisa saya kutip dan saya pribadi memiliki kecenderungan untuk menggunakan sudo daripada RBAC, walaupun dengan keterbatasan tersebut saya bisa datang mengimplementasikan beberapa pekerjaan di sekitar. Sampai semua masalah ditangani oleh RBAC untuk keuntungan sudo yang lebih baik, saya tidak berpikir sudo akan hilang karena itu sederhana.