Un super utilisateur encore plus super

[fafa31]

Bonjour,

J'aurai besoin de votre aide car là je suis à court d'idée... Cette requette se dirige plustôt vers linux, que vers zimbra :~

Voilà mon problème :

On me demande de mettre en place sur les serveurs de ma société un super-administrateur que seul le directeur pourrait utiliser (il devra en être le seul a en avoir les identifiants) :
- ce compte doit avoir tous les accès possibles au serveur
- Je ne doit pouvoir rien faire sur ce compte : Supprimer, changer le mot de passe... Tout en ayant les droits d'administration sur les serveurs pour continuer mon travail.

Ce que je pense faire :
Sur chacun de mes serveurs, j'ai deux comptes administrateurs : root (c'est normal et je ne m'en sert que très rarement) et une autre créé pour l'accès externe via ssh dont je me sert pour la majorité de la maintenance dont j'ai besoin.
Directeur : utilisation du compte root en lui imposant de mettre un mot de passe administrateur compliqué (mais impossible à vérifier selon le cahier des charges que l'on m'impose :~ )
Moi : continuer d'utiliser mon 2d compte d'administration pour ssh pour faire mes opérations de maintenance via des sudo.

Est-ce valable pour vous ? Peut-on faire une mise à jour zimbra avec "sudo" sans se retrouver bloqué ? Peut-on tout faire avec sudo ou pas (Connaissant ubuntu, je dirai que oui, mais à confirmer) ?

Sinon, quels sont mes possibilité tout en gardant un contrôle sur les serveurs (Pas envies de courir après le directeur pour faire une maintenance toute bête...) ?

Merci de votre aide,

Fabrice

[tartine]

Alors, plusieurs choses,
Deja, tu peux mettre la clé publique du systeme de ton directeur dans authorized keys du server comme ceci, juste une machine et une seul personne peut se connecter sur le serveur.
Ensuite, si tu peux sudo sur le systeme, beeeen, tu peux passer en root (sudo su - )

Cependant, tu peux t'empecher de passer en root, mais tu devra avant tout installer des services en cron ou utiliser des outils de maintenance ( google sais mieux que moi).
Tartine

[Winnt]

Salut,

Déjà il faudrait savoir ce qu'il veux faire pour proposer une solution pertinente.
J'espère pour toi que ton directeur est bon en informatique.
Parce que lui refiler le root signifie qu'il va pouvoir faire un max de c***rie.
En plus il me semble avoir lu que pour certaines opérations particulières si on n'est pas root elle ne fonctionne pas.
Pour moi le plus simple est de créer un utilisateur spécifique appartenant au groupe root. Ainsi tu garde root pour le cas ou il fout le bordel.

[gangsoleil]

Bonjour,

Il faut que tu expliques la chose suivante a la personne qui t'a demande de creer cette betise :

Il n'existe qu'un seul compte root, et c'est le seul compte qui puisse sauver la machine en cas de probleme. Il est necessaire que l'administrateur puisse utiliser ce compte en cas de probleme.
Toute autre personne doit avoir un compte restreint, qui ne l'autorise a faire que ce dont il a besoin sur la machine : une personne du support ne devrait pas avoir les memes droits que le developpeur, qui n'a pas les memes que le directeur, ...

D'ou la question : quels sont les besoins du directeur ? S'il est informaticien et qu'il a vraiment besoin des acces root sur la machine, alors configure sudo pour que son compte puisse l'utiliser pour faire toutes les conneries possibles. Dans le cas contraire, il ne devrait pas avoir acces aux commandes d'administration.

[fafa31]

Envoyé par gangsoleil

Bonjour,

D'ou la question : quels sont les besoins du directeur ? S'il est informaticien et qu'il a vraiment besoin des acces root sur la machine, alors configure sudo pour que son compte puisse l'utiliser pour faire toutes les conneries possibles. Dans le cas contraire, il ne devrait pas avoir acces aux commandes d'administration.

Bonjour,

Le directeur n'est pas informaticien, mais un de nos client demande à ce qu'une personne externe au SI (C'est à dire moi, puisque je suis seul) et gérant de la société puisse avoir un accès administrateur sur les serveurs en cas de disparition de ma part.

Le problème, c'est que ce compte ne doit pas pouvoir être ni supprimer, ni modifier par mes soins. Afin d'en assurer sa pérénité.

Le client n'est pas très explicite sur les moyens à mettre en oeuvre. Je penses, que c'est dans l'optique où je serai ammené à quitter la société en mauvais termes et qu'il faut que les personnes en place puisse reprendre le contrôle des serveurs.

Fabrice

[frp31]

mouais ...
en même temps le contrôle il l'aura tjrs quoi qu'il puisse arriver... que ce soir AIX, HPUX TRU64 BSD ou linux il est tjrs possible de reprendre la main, avec une procédure dédié à chaque système, mais qui permet de booter au moins en single et sans login et de prendre la main pour rétablir la situation donc la demande elle même est abérente.

par contre il faut compter un downtime disons 1H pour la réalisé en cas de besoin, histoire de garder de la marge... tu peux rassurer ton équipe dirigente sur le sujet en leur pondant un dossier d'exploitation, avec une procédure compléte, à la portée de Mr tout le monde genre

Code :

1
2
3
4
5
6
7
placer la clef sur S
appuyer sur power
appuyer sur F1
appuyer 4 fois sur flèche bas
appuyer 1 fois sur espace (une croix doit apparaître devant single tel que : "[X] single"
appuyer 1 fois ur flèche bas (le bouton valider doit passer en surbrillance) 
etc..etc...etc...

bref une doc où n'importe quel abruti peut le faire même si il n'a pas connu l'informatique parce qu'il était dans le coma ces 30 dernières années.

et bien sur tu leur fait tester pour les rassurer encore une dernière fois.
J'ai réussi à faire faire une installation complète d'un système AIX à une secrétaire sur un site distant comme ça une fois juste grace à une doc aux petits oignons.

[gangsoleil]

Envoyé par fafa31

Le problème, c'est que ce compte ne doit pas pouvoir être ni supprimer, ni modifier par mes soins. Afin d'en assurer sa pérénité.

Ok, je comprends. Mais ce genre de compte ne peut pas exister : tu as besoin de pouvoir te logger en root (ou equivalent), et dans ce cas, tu as tous les droits.

Le mieux que vous puissiez faire est de partager l'acces root.

Autre solution : le client assure un service 24/7, qui est capable d'executer les commandes que tu lui donneras. Dans ce cas, tu peux utiliser un shell a distance particulier, qui ne te permet pas d'executer les commandes (en gros, c'est une tierce personne, logguee physiquement sur la machine, qui appuie sur entree si elle pense que ta commande est normale et sans risque).

Mais si la personne est capable de juger de cela, elle est capable d'administrer les machines.

[fafa31]

Ok merci à vous, tout ceci me conforte dans le fait que je suis pas si nul que ça : des personnes n'ayant aucune connaissances en informatique ont réussi à me faire douter sur ce que je disai car je donnait les mêmes arguments que vous.

Je vais proposer la solution du login en single user avec procédure que je leur ferai tester


Après on verra la suite

Fabrice.

[gangsoleil]

Envoyé par fafa31

Je vais proposer la solution du login en single user avec procédure que je leur ferai tester

Effectivement, c'est la seule solution qui garantisse un acces a l'OS (si celui-ci n'a pas ete trop abime) : un acces physique a la machine, un live-CD (eventuellement sur support USB), et une procedure de recouvrement des mots de passe root.