设置特定的安全安排

Question 1

用户可以轻松地添加到新组中。脚本（与可执行文件不同）无法通过 setgid/setuid 权限分配权限，因此组需要文件中的一个条目，sudoers以便在用户运行选定的脚本集时向其授予权限。（该特权不需要 - 实际上也不应该 - 是root访问权限。）

初始点。我们将该组称为ops，我们将拥有用户alice和bob。他们应该能够/opt/scripts以 user 身份执行脚本privops，我们也需要创建该脚本。您可能更喜欢对用户和组使用相同的名称，但我在这里将它们分开以明确哪个是哪个。

首先创建目标用户、成员资格组并向其中添加用户：

useradd privops
groupadd ops
usermod -a -G ops alice
usermod -a -G ops bob

现在使用visudo向文件添加新行sudoers（或者更好的是，创建您自己的文件visudo /etc/sudoers.d/ops）：

%ops ALL=(privops) NOPASSWD: /opt/scripts/*

此时，Alice 和 Bob 可以以用户身份sudo从该目录执行脚本。确保目录的脚本只能由组成员执行：/opt/scriptsprivopsops

chown root:ops /opt/scripts/*
chmod ug=rx,o= /opt/scripts/*

您应该确保受限访问文件由该用户帐户拥有privops并且只能由该用户帐户读取/写入：

chown privops:ops /opt/privdata/*
chmod u=rw,go= /opt/privdata/*

用法示例（第一遍）：

# As alice
sudo -u privops /opt/scripts/myscript arg1 arg2…

如果您想提高脚本的可用性，请让他们调用自己（sudo如果他们还不是目标用户）。

#!/bin/sh
if [ "$(id -nu)" != 'privops' ]
then
    exec sudo -u privops "$0" "$@"
    exit 1
fi

# original code continues from here…

然后，爱丽丝和鲍勃可以使用这样的命令，甚至可以将它们添加到他们的$PATH

/opt/scripts/myscript arg1 arg2…

# Or
export PATH="$PATH:/opt/scripts"
myscript arg1 arg2…

因为您要向脚本添加权限，以/opt/scripts确保它们编写得特别仔细，而调用者没有机会突破。由于您似乎不熟悉这种类型的解决方案，您可能需要寻求专业建议。

Answer