多个 Linux 系统管理员以 root 身份工作

Question 1

在我看来，第二个选项是最好的。个人账户，sudo 访问。完全禁用通过 SSH 的 root 访问。我们有几百台服务器和六名系统管理员，这就是我们的做法。

代理转发到底是怎么断的？

sudo另外，如果在每个任务前使用很麻烦，你可以使用以下命令调用 sudo shellsudo -s或切换到 root shell：sudo su -

Answer

在我看来，第二个选项是最好的。个人账户，sudo 访问。完全禁用通过 SSH 的 root 访问。我们有几百台服务器和六名系统管理员，这就是我们的做法。

代理转发到底是怎么断的？

sudo另外，如果在每个任务前使用很麻烦，你可以使用以下命令调用 sudo shellsudo -s或切换到 root shell：sudo su -

Question 2

关于第三种建议的策略，除了仔细阅读useradd -o -u userXXX@jlliagre 推荐的选项外，我并不熟悉以相同的 uid 运行多个用户。（因此，如果您继续这样做，我会很感兴趣您是否可以更新帖子以包含出现的任何问题（或成功）...）

我想，我对第一个选项“每个人的 SSH 公钥都放入 ~root/.ssh/authorized_keys2”的第一个观察是，除非你绝对永远不会在任何其他系统上工作；

那么至少有时，你将需要使用用户帐户和sudo

第二个观察是，如果您在追求 HIPAA、PCI-DSS 合规性的系统或 CAPP 和 EAL 之类的系统上工作，那么您将必须解决 sudo 的问题，因为；

这是一个行业标准提供非根个人用户帐户，这些帐户可以被审计，禁用，过期等，通常使用一些集中式用户数据库。

所以;使用个性化帐户和 sudo

不幸的是，作为一名系统管理员，你在远程机器上需要做的几乎每件事都需要提升权限，然而令人恼火的是，当你在sudo

因此，我可以传授一些技巧来解决sudo您提到的烦恼。第一个问题是，如果使用 root 登录被阻止PermitRootLogin=no，或者您没有使用 ssh 密钥的 root，那么 SCP 文件就会变得有点麻烦。

问题 1：您想从远程端 scp 文件，但它们需要 root 访问权限，但是您无法直接以 root 身份登录到远程框。

钻孔解决方案：将文件复制到主目录，chown，然后 scp 下来。

ssh userXXX@remotesystem，sudo su -等等，使用 scp 从cp /etc/somefiles远程检索文件。/home/userXXX/somefileschown -R userXXX /home/userXXX/somefiles

确实很无聊。

更简单的解决方案：sftp 支持该-s sftp_server标志，因此您可以执行以下操作（如果您已经在中配置了无密码 sudo /etc/sudoers）；

sftp  -s '/usr/bin/sudo /usr/libexec/openssh/sftp-server' \
userXXX@remotehost:/etc/resolv.conf

（您也可以将这个 hack-around 与 sshfs 结合使用，但我不确定是否推荐这样做... ;-)

如果您没有无密码的 sudo 权限，或者由于某些配置原因上述方法无效，我可以建议一种更不那么无聊的文件传输方法来访问远程根文件。

端口转发忍者方法：

登录到远程主机，但指定远程端口 3022（可以是任何免费的，并且不为管理员保留，即> 1024）要转发回本地的端口 22。

 [localuser@localmachine ~]$ ssh userXXX@remotehost -R 3022:localhost:22
Last login: Mon May 21 05:46:07 2012 from 123.123.123.123
------------------------------------------------------------------------
This is a private system; blah blah blah
------------------------------------------------------------------------

以正常方式扎根......

-bash-3.2$ sudo su -
[root@remotehost ~]#

现在您可以从另一个方向 scp 文件，从而避免制作文件中间副本的无聊步骤；

[root@remotehost ~]#  scp -o NoHostAuthenticationForLocalhost=yes \
 -P3022 /etc/resolv.conf localuser@localhost:~
localuser@localhost's password: 
resolv.conf                                 100%  
[root@remotehost ~]#

问题2：SSH代理转发：如果您加载根配置文件（例如通过指定登录 shell），则 SSH 代理转发所需的环境变量（例如）将SSH_AUTH_SOCK被重置，因此 SSH 代理转发在下会“中断” sudo su -。

半生不熟的答案：

任何正确加载 root shell 的操作都将正确地重置环境，但是，当你需要 root 权限和使用 SSH 代理的能力时，你可以使用一种稍微变通的方法，同时

这实现了一种不应该使用的嵌合体配置文件，因为这是一个恶意的黑客行为但是当您需要以 root 身份将文件从远程主机 SCP 到其他远程主机时很有用。

无论如何，您可以通过在 sudoers 中设置以下内容来让您的用户保留他们的 ENV 变量；

 Defaults:userXXX    !env_reset

这使得您可以创建像这样的令人讨厌的混合登录环境；

正常登录；

[localuser@localmachine ~]$ ssh userXXX@remotehost 
Last login: Mon May 21 12:33:12 2012 from 123.123.123.123
------------------------------------------------------------------------
This is a private system; blah blah blah
------------------------------------------------------------------------
-bash-3.2$ env | grep SSH_AUTH
SSH_AUTH_SOCK=/tmp/ssh-qwO715/agent.1971

创建一个 bash shell，运行/root/.profile并/root/.bashrc。但保留SSH_AUTH_SOCK

-bash-3.2$ sudo -E bash -l

所以这个shell具有root权限，并且是root $PATH（但是主目录被破坏了...）

bash-3.2# id
uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel) context=user_u:system_r:unconfined_t
bash-3.2# echo $PATH
/usr/kerberos/sbin:/usr/local/sbin:/usr/sbin:/sbin:/home/xtrabm/xtrabackup-manager:/usr/kerberos/bin:/opt/admin/bin:/usr/local/bin:/bin:/usr/bin:/opt/mx/bin

但是您可以使用该调用来执行需要远程 sudo root 的事情，但也需要 SSH 代理访问，如下所示；

bash-3.2# scp /root/.ssh/authorized_keys ssh-agent-user@some-other-remote-host:~
/root/.ssh/authorized_keys              100%  126     0.1KB/s   00:00    
bash-3.2#

Answer