برای هر مدیر سرور حساب مستقل بسازید و دسترسی را به اندازه وظیفه بدهید. استفاده مشترک از root، پیگیری تغییرات و لغو دسترسی یک نفر را دشوار می‌کند. نمونه‌ها برای توزیع فعال خانواده RHEL است؛ CentOS 7 منقضی برای سرور تازه مناسب نیست. پیش از تغییر حساب مدیر، کنسول و یک راه ورود دومِ معتبر آماده کنید.
ساخت حساب و کنترل هویت
sudo useradd -m siteoperator
sudo passwd siteoperator
id siteoperator
getent passwd siteoperatorنام نمونه را تغییر دهید. گذرواژه را تعاملی وارد کنید تا در تاریخچه shell نماند. UID و home را بررسی کنید؛ ساخت یک نام کاربری مشابه، دسترسی به فایل‌های UID قدیمی را خودکار و درست منتقل نمی‌کند.
اعطای sudo فقط وقتی لازم است
sudo usermod -aG wheel siteoperator
sudo -l -U siteoperatorگزینه -a برای افزودن بدون جایگزینی همه گروه‌های مکمل اهمیت دارد. با ورود تازه، رفتار sudo را آزمایش کنید. برای اختیار محدود، قاعده مشخص را با visudo و بازبینی syntax تنظیم کنید؛ NOPASSWD: ALL را برای راحتی عمومی ندهید. بعضی فرمان‌های ظاهراً محدود قابلیت اجرای shell دارند و عملاً اختیار کامل می‌دهند.
بازبینی عضویت و مالکیت
گروه فایل، ACL و حساب اجرای سرویس را از حساب انسانی جدا کنید. اجرای chown بازگشتی روی کل /var/www ممکن است فایل چند سایت یا سرویس را به کاربر اشتباه بدهد. ابتدا مسیر دقیق، مالک موردانتظار و اثر تغییر را بررسی کنید. حساب سرویس معمولاً به ورود تعاملی مدیر و عضویت wheel نیاز ندارد.
قطع دسترسی فقط قفل‌کردن رمز نیست
passwd -l تنها مسیر رمز محلی را محدود می‌کند و لزوماً کلید SSH، توکن، نشست فعال یا دسترسی sudo را از بین نمی‌برد. در خروج یک همکار، همه مسیرهای دسترسی تحت اختیار سازمان را فهرست کنید: کلیدهای authorized_keys، گروه‌های مدیریتی، توکن‌ها، سرویس‌ها و نشست‌های باز. تغییر را با هماهنگی مالک سرویس انجام دهید تا حسابی که برنامه به آن وابسته است ناخواسته از کار نیفتد.
حذف حساب؛ مرحله آخر نه اولین اقدام
- ابتدا مالک فایل‌ها، jobها، mailbox و فرایندهای همان UID را شناسایی کنید.
- داده لازم و مسئول جایگزین را مشخص و بکاپ قابل بازیابی تهیه کنید.
- دسترسی‌های مدیریتی و ورود را به‌صورت کنترل‌شده لغو کنید.
- فقط پس از تأیید سیاست نگهداری، حذف حساب یا home را بررسی کنید؛ userdel -r می‌تواند داده واقعی را از بین ببرد.
پیش و پس از تغییر، ورود حساب‌های مجاز و رفتار سرویس‌های مرتبط را کنترل و زمان و عامل تغییر را ثبت کنید.
مطالعه مرتبط
منابع و مستندات
بازبینی محتوا و منابع: ۲۶ مهر ۱۴۰۵. دستورهای نمونه برای محیط مشخص‌شده‌اند؛ پیش از استفاده روی سرویس عملیاتی، سازگاری محیط و نسخه پشتیبان را بررسی کنید.
