如何授予服务器的临时访问权限？

Question

我聘请了一位远程顾问来调整我的服务器。现在，我不能 100% 确定是否要给他 root 密码并允许他在服务器上做任何他想做的事情。理想情况下，我希望看到他对我的服务器所做的一切（实时），并找到一种不与他共享 root 密码的方法。

允许远程顾问访问您的服务器是否有最佳做法？

编辑：澄清一下，我想与顾问进行某种屏幕共享。有没有什么方法可以让他的命令通过我的帐户传输，而无需他获得任何密码？

PS：我的服务器是Ubuntu 9.10

Answer 1

你可以让他连接普通账户然后监视他的 SSH 会话。我认为基于屏幕的解决方案是最好的，它可以让您进行“配对”系统管理。例如，他可以输入 sudo 命令，而您可以在需要时输入密码。

PS 如果你使用 screen 并不意味着你不应该使用sudosh2或其他解决方案。

Answer 2

不要授予他 root 密码，而是使用 sudo。

如果你想以超级用户身份实时查看他所做的一切，请查看sudosh2. 来自文档：

sudosh 是一个审计 shell 过滤器，可以用作登录 shell。Sudosh 记录所有击键和输出，并可以像 VCR 一样回放会话。

“所有按键”包括退格键、删除字符、BASH 的“删除单词”等按键。您可以观看某人令人尴尬的打字错误和更正等。

sudosh 将支持 syslog，您可以将日志发送到远程 syslog 服务器。这将确保用户无法删除审计日志的所有副本。

请注意，原始项目苏多什（第一个版本）已经弃由其作者撰写。sudosh2 依然活跃。

Answer 3

这实际上取决于你想给他/她什么级别的访问权限。我首先不会启用远程 root 登录。只有“普通”帐户才应该具有远程访问权限，然后根据该人的需求配置 sudo。

Answer 4

我正在添加另一个不同的答案来回应您的更新。

使用 GNU screen，您可以与另一个用户共享屏幕。这意味着他可以输入命令，而您可以看到他输入的所有内容。您可以输入命令，而他可以看到您输入的内容。当系统提示他输入密码时，您可以输入密码，但密码内容不会打印到屏幕上（注意：虽然文本不会打印到屏幕上，但我不确定其他用户是否能够通过其他方式访问您的击键，或者访问击键缓冲区等）。

更多信息http://www.debian-administration.org/article/Using_GNU_screen%27s_multiuser_feature_for_remote_support

另一个建议：事先将root密码改为临时密码，等他走了之后再将root密码恢复为原始密码。