如何防止 sudo 用户更改 /etc 目录

Question

我们的实验室中有一台 Ubuntu 14.04 机器，我的计划是限制/etc具有sudo特权的用户更改目录中的任何内容，以便只有 root 用户可以编辑配置文件。

是否有任何软件可以像 Windows 服务器中那样应用此类策略？

Answer 1

不，没有软件可以做到这一点。如果有一个“sudo”用户将能够恢复该软件更改的内容，因为用户无法更改 /etc.

如果您不信任您的用户，请不要让他们成为“sudo”用户并为他们创建常规用户。

好的，我的计划是让用户可以终止进程，重新启动所有服务，挂载，更改权限和所有者，ifdown/up，vagrant 等。

但这与无法更改无关/etc：您可以拥有一个拥有更高权限的普通用户，因此他可以使用需要“sudo”的特定命令，而无需在该机器上成为管理员。示例： 向用户授予有限的 Sudo 权限像这样设置意味着他们无法更改任何内容，/etc除非您在他们可以的地方创建命令。但是，如果您认为让用户能够做任何事情而/etc不是更改其中的文件是一个好主意，那么这将是一个很长的列表。

但要小心：添加冲突命令很容易。例如，请参阅msalters的评论。