सर्वर तक अस्थायी पहुंच कैसे प्रदान करें?

Question

मैंने अपने सर्वर को ट्यून करने के लिए एक दूरस्थ सलाहकार को काम पर रखा है। अब, मैं उसे रूट पासवर्ड देने के बारे में 100% आश्वस्त नहीं हूं और उसे वह करने की अनुमति देता हूं जो वह सर्वर पर करना चाहता है। आदर्श रूप से, मैं वह सब कुछ देखना चाहता हूं जो वह मेरे सर्वर (रियलटाइम में) कर रहा है और उसके साथ रूट पासवर्ड साझा नहीं करने का भी तरीका खोज रहा है।

क्या रिमोट-कंसल्टेंट को आपके सर्वर तक पहुंचने की अनुमति देने में कोई सर्वोत्तम अभ्यास है?

संपादित करें: स्पष्ट करने के लिए, मैं सलाहकार के साथ स्क्रीन शेयर करना चाहता हूं। क्या कोई ऐसा तरीका है जिसके द्वारा उसकी आज्ञाओं को कभी भी बिना कोई पासवर्ड प्राप्त किए मेरे खाते के माध्यम से सुरंग बना दिया जाता है?

PS: मेरे सर्वर उबंटू 9.10 पर हैं

Comments

मुझे लगता है कि भरोसे को किसी और चीज से पहले आना चाहिए । यदि आप उस पर (पर्याप्त) भरोसा नहीं करते हैं, तो उसे अपने सर्वर से गड़बड़ न करने दें। इसके अलावा, बस बैकअप करें और कोशिश करें कि सर्वर पर कोई गोपनीय डेटा न हो।

— क्रिस्टियान सियुपिटु

Answer 1

आप उसे एक नियमित खाते से जुड़ने दे सकते हैं और फिर उसके SSH सत्र की निगरानी कर सकते हैं । स्क्रीन आधारित समाधान मेरी राय में सबसे अच्छा है और आपको "जोड़ी" सिस्टम प्रशासन करने देगा। उदाहरण के लिए, वह sudo कमांड टाइप कर सकता है और यदि आपको इसकी आवश्यकता है तो आप पासवर्ड टाइप करेंगे।

PS यदि आप स्क्रीन का उपयोग करते हैं तो इसका मतलब यह नहीं है कि आपको sudosh2 या अन्य समाधानों का उपयोग नहीं करना चाहिए ।

Answer 2

उसे रूट पासवर्ड देने के बजाय, sudo का उपयोग करें।

यदि आप सुपरयूजर के रूप में रियलटाइम में वह सब कुछ देखना चाहते हैं, तो sudosh2 देखें । डॉक्स से:

sudosh एक ऑडिटिंग शेल फ़िल्टर है और इसे लॉगिन शेल के रूप में उपयोग किया जा सकता है। Sudosh सभी कीस्ट्रोक्स और आउटपुट रिकॉर्ड करता है और एक वीसीआर की तरह सत्र को वापस खेल सकता है।

"ऑल कीस्ट्रोक्स" में बैकस्पेस से कीस्ट्रोक शामिल हैं, वर्ण हटाएं, BASH का 'मिटाएं शब्द', आदि। आप किसी के शर्मनाक टाइपो और सुधारों को देख सकते हैं, आदि।

sudosh syslog का समर्थन करेगा, और आप लॉग को दूरस्थ syslog को गंभीर रूप से भेज सकते हैं। यह सुनिश्चित करेगा कि उपयोगकर्ता ऑडिट लॉग की सभी प्रतियों को मिटा न सके।

ध्यान दें कि मूल परियोजना sudosh (पहले संस्करण) को लेखक द्वारा छोड़ दिया गया है। sudosh2 जीवित और अच्छी तरह से है।

Answer 3

यह वास्तव में निर्भर करता है कि आप उसे किस स्तर तक पहुंचाना चाहते हैं। मैं पहली बार में दूरस्थ रूट लॉगिन को सक्षम नहीं करूंगा। केवल "सामान्य" खातों में दूरस्थ पहुंच होनी चाहिए, फिर उस व्यक्ति के लिए जो कुछ भी आवश्यक हो, उसके लिए sudo कॉन्फ़िगर करें।

Comments

लेकिन sudo के साथ एक खाता नहीं है जो रूट एक्सेस प्रदान करने के बराबर है?

— पारस चोपड़ा

@ पारस चोपड़ा - यह इस बात पर निर्भर करता है कि आप किस प्रकार के कॉन्फ़िगरेशन का उपयोग करते हैं - आप sudoकुछ कमांड तक पहुंच को सीमित कर सकते हैं , उदाहरण के लिए

— वॉरेन

Answer 4

सबसे पहले, आपके पास स्पष्ट रूप से परिभाषित उद्देश्य होना चाहिए कि आप उसे क्या करना चाहते हैं। एक बार उन उद्देश्यों को परिभाषित कर लेने के बाद आप उन्हें उन उद्देश्यों को प्राप्त करने के लिए आवश्यक पहुँच का स्तर प्रदान कर सकते हैं।

यह मेरी कार को मरम्मत की दुकान पर छोड़ने और उन्हें "इसे ठीक करने" के लिए कहने जैसा है। अगली बात जो आप जानते हैं कि मुझे हज़ारों डॉलर का बिल मिला है और उन्होंने वे काम किए हैं जो मैं नहीं चाहता था और मैंने नहीं पूछा।

Answer 5

मैं आपके अपडेट के जवाब में एक और जवाब जोड़ रहा हूं।

जीएनयू स्क्रीन का उपयोग करते हुए, आप किसी अन्य उपयोगकर्ता के साथ एक स्क्रीन साझा कर सकते हैं। इसका मतलब है कि वह कमांड टाइप कर सकता है, और आप वह सब कुछ देख सकते हैं जो वह टाइप करता है। आप कमांड टाइप कर सकते हैं और वह देख सकता है कि आप क्या टाइप करते हैं। जब उसे पासवर्ड के लिए संकेत दिया जाता है तो आप पासवर्ड टाइप कर सकते हैं, लेकिन पासवर्ड सामग्री स्क्रीन पर प्रिंट नहीं होती है (नोट: जबकि टेक्स्ट स्क्रीन पर प्रिंट नहीं किया गया है, मुझे यकीन नहीं है कि अन्य उपयोगकर्ता पहुंच प्राप्त कर पाएंगे या नहीं) अपने कीस्ट्रोक्स पर किसी अन्य तरीके से, या कीस्ट्रोक बफर तक पहुंच प्राप्त करें, आदि)।

Http://www.debian-administration.org/article/Using_GNU_screen%27s_multiuser_feature_for_remote_support पर अधिक जानकारी

एक अन्य सुझाव: रूट पासवर्ड को पहले से अस्थायी पासवर्ड में बदलें। जब वह चला जाता है, तो मूल पासवर्ड को मूल पासवर्ड को पुनर्स्थापित करें।

Comments

मैंने पहले ही स्क्रीन का उपयोग करने का सुझाव दिया है ।

— बजे क्रिस्टियान सियुपिटु

Answer 6

यदि आप केवल सार्वजनिक कुंजी को सर्वर तक पहुँच की अनुमति देते हैं, लेकिन कोई पासवर्ड लॉगिन नहीं है, तो आप सलाहकार को दी गई कुंजी को हटाकर किसी भी समय आप सही पहुँच को रद्द कर सकते हैं।

एक बार मशीन पर, जीएनयू स्क्रीन को सभी वांछित कार्यक्षमता प्रदान करनी चाहिए - जैसा कि क्रिस्टियन सियुपिटु ने सुझाव दिया था। यदि आप अतिरिक्त आराम जोड़ना चाहते हैं, तो sudosh2 आपकी मदद कर सकता है, लेकिन आपके गोले का इतिहास और स्क्रीन हार्डकॉपी आपको बाद में आदेशों को वापस चलाने में मदद कर सकता है ...