背景简介：我们有 40 个运行 Linux 的工作站。NFS 广泛用于批量数据存储和主目录。这允许用户在相对透明的文件系统中自由漫游。
这是一个教育环境，博士后和学生已经成功地实现了某种政变。他们都通过培养一个认为 IT 人员是邪恶的、对技术有恐惧的 PI 获得了各自工作站的根基。如果我建议 chroot 或 sudo 限制，我会发现自己在扫帚柜里工作。
考虑到这一点，缓解以下类似问题的最佳方法是什么？
$ hostname
workstation1
$ whoami
john
$ sudo su jane
$ whoami
jane
$ cp -R /home/nfs/jane /mnt/thumbdrive/
答案1
澄清一下，“john”是技术恐惧者吗？如果是这样，则将su配置和sudo配置更改为总是切换用户之前询问用户密码（即使您是 root ）。
如果用户阻挠系统并给予他们自己sudo，那么这里就有几个问题。当客户端机器不可信时，NFSv3 和 AUTH_SYS（用于识别用户的基本机制）就会完全失效。您必须实施更强大的 NFS 身份验证系统，以GSS避免出现此问题。
答案2
你有四个选择，但对于你所处的情况来说，没有一个选择是容易的。
在服务器级别修复它
禁止违反安全策略的人管辖范围内的所有工作站。否则安全还有什么意义？
在客户端层面修复它
除掉根部。就这样。任何不这样做的行为都是纸上谈兵，每次都会被耍。
烧掉一切
实现基于用户身份验证的网络文件系统。这是一个完全重新设计的过程，将涉及重新配置服务器和工作站。（阅读：低牵引力）
有些人喜欢看着世界燃烧，而其他人则别无选择
当雇主不愿意做正确的事情时，有时你必须让火自己烧掉。如果你不被允许履行你的工作职责并管理网络文件系统的安全，你可能不得不等到发生足够大的安全违规行为，才能让大家明白这一点。
这与冷漠不同。冷漠的系统管理员不在乎。你做关心，但有时也需要让你的雇主感受到忽视问题的自然后果。区分两者很重要，这是一项职业技能。有时痛苦也是治愈过程的一部分。
如果您知道某个重要人物的文件位于其中一个服务器的可访问 NFS 共享上，那么您可以通过私下演示来尽快说明这一点。 默认情况下不必安装有问题的共享，只要其中一个工作站上的 root 访问权限为人们无权干涉的文件提供引导就足够了。
答案3
问题是无法 cp -R 或 rm -rf /，真正让我害怕的是冒充用户的能力。您确实需要调整 sudoers，或者，如果他们可以获得 root 访问权限/知道密码/如何更改密码，也许您可以采取一种不太好的方法，使用 CIFS 而不是 NFS，并强制他们在挂载目录之前提供其凭据。
它破坏了 SSO，但多次提供合法凭证看起来比在 sudo su poorguy 之后提供伪造凭证更安全。