🚀 go-pugleaf

On 2024-12-01, Jarosław Sokołowski <jaros@lasek.waw.pl> wrote:
> Pan Marcin Debowski napisał:
>
>>> Gdy administrator jest jeden, to do nikogo o nic nie może mieć
>>> pretensji i robi jak uważa. Gdy jest ich więcej, to warto znać
>>> historię logowań każdego z nich.
>>
>> Bez bicia informuję, że nie pracowałem nigdy na nieco bardziej
>> ludnym  serwerze z kilkoma adminami, ale co to miałoby dać?
>> Jak ktoś robi coś złego to na prawach roota ma zwykle wystarczające
>> środki aby zatrzeć za sobą ślady lub uniemożliwić własną identyfikacje.
>> A jeśli tym innym osobom ufamy, i są one profesjonalne, to poinformują
>> nas co robiły, mogą być jakieś dzienniki, etc. A jak to jest jakaś
>> infrastruktura krytyczna, np. dla firmy, to z lekka dziwne byłoby
>> opierać bezpieczeństwo na znajomości historii logowań i sudo.
>
> Nie chodzi o świadome czynienie zła i o zacieranie śladów po tym.
> Elementem profesjonalnego podejścia jest założenie, że profesjonalnym
> osobom zdarzają się błędy. Z kolei istotą błędów jest to, że nie były
> planowane. Więc jak się już pojawiły, to niekoniecznie wszystko widać
> w logach. Zatem dobrze jest mieć możliwość jak najszybszego dotarcia
> do "naocznego świadka", który sam jeden wie, co robił, choć nie wie
> jeszcze, że zepsuł.

A to nie lepiej zapytać? Wystąpił taki problem, robiliście coś ostatnio 
na bleble.com.ble? Przeciez kolegów będą ze 2-4 sztuki, nie jakaś 
choragiew.

>>> Określenie SOA#1 (standardowa odpowiedź administratora numer 1: u mnie
>>> działa) skądś się wzięło. Łatwo coś tak spartaczyć, że działa dla 0:0,
>>> a dla innych użytkowników niebardzo. Działanie z uprawnieniami 0:0 jest
>>> po prostu niepraktyczne.
>>
>> Czym się ta niepraktyczność manifestuje? 
>
> Między innymi tym, co wyżej opisane. Trudniej jest szybko przetestować,
> jak wszystko wygląda z punktu widzenia nieuprzywilejowanego użytkownika.

Sorry, ale chyba nie rozumiem. Poprzedzanie kazdego polecenia sudo 
wydaje mi się skrajnie niepraktyczne przy jakiejkowlwiek nieco wiekszej 
pracy (medal za cierpliwość tym co w pierwszym poleceniu nie zrobią sudo 
-i), "su - użytkownik" nie potrzebuje sudo. A też mam watpliwości, czy 
praktyka sudo dla bardziej zaawansowanego admina nie jest wręcz 
szkodliwa.

-- 
Marcin