sudo (/etc/sudoers)
Duas linhas adicionais para dar maior segurança ao uso do comando sudo.
# # This file MUST be edited with the 'visudo' command as root. # # Please consider adding local content in /etc/sudoers.d/ instead of # directly modifying this file. # # See the man page for details on how to write a sudoers file. # Defaults env_reset Defaults secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin" # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # ESSAS 2 LINHAS ABAIXO SÃO AS LINHAS ADICIONAIS PARA SE OBTER SEGURANÇA: # ## PEDINDO A SENHA Á CADA EXECUÇÃO DO COMANDO SUDO (o sudo guarda a senha por alguns minutos): Defaults timestamp_timeout=0 # # PEDINDO A SENHA DO ROOT (o sudo geralmente pede a senha do administrador): Defaults targetpw # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # Host alias specification # User alias specification # Cmnd alias specification # User privilege specification root ALL=(ALL:ALL) ALL # Members of the admin group may gain root privileges %admin ALL=(ALL) ALL # Allow members of group sudo to execute any command %sudo ALL=(ALL:ALL) ALL # See sudoers(5) for more information on "#include" directives: #includedir /etc/sudoers.d
Um usuário tem acesso apenas a coisas como montagem.
Outro somente para atualização, que é mais banal.
Outro para alguma instalação.
Outro que, para editar um arquivo, editaria uma cópia local de sua própria permissão e depois disso copiaria o arquivo que estaria exata e unicamente deste ponto por cima do arquivo com outra permissão no diretório protegido, através de um script somente para isto, que faria apenas isso sem dar chance de usar um editor que copiaria coisas com privilégios de root ou um outro comando qualquer com plenos poderes.
Se possível usando a opção de "somente com senha" do sudoers.