删除对特定文件的 sudo 访问

Question

我在 ubuntu 服务器上有一个文件，只能从一个用户访问。服务器上还有其他用户具有 sudo 权限。尽管另一个用户可以 sudo 来查看/修改内容，但我试图限制对该文件的访问。

我已经查看了visudo哪些已禁用chmod和chown命令。因此用户无法更改文件权限。我查看了访问控制列表，据我所知，它可以通过 sudo 绕过。

所以我的问题是，如何限制一个且只有一个用户对文件的访问。没有能力在绕过权限的情况下 sudo。

Answer 1

执行此操作的唯一方法是拒绝sudo其他用户访问。如果您有多个具有sudoadmin 权限的人，您不能限制对sudo/ 的访问，root最好不要将此文件保存在服务器上。特别是如果您不相信对系统具有管理权限的每个人都不会窥探您的数据。

运行任何东西的权限sudo本质上等同于具有root访问权限但没有root解锁帐户。 root可以访问一切。您将无法停止该访问。

没有sudo从这些用户中删除或添加特殊sudoers行来准确定义sudo那些其他有能力的sudo用户可以通过哪些命令运行（没有别的，从这个意义上说，“受限”管理员权限，因为他们不能对他们的 做任何事情sudo），您没有选项可以防止sudo/root查看文件。

其他替代方法是在上传之前在您的系统上本地加密文件，例如gpg加密等。在这些情况下，即使他们可以访问文件，他们也无法编辑或查看内容，因为它们是加密的，并且不会有读取文件所需的解密代码，即使是root. 但是，这更复杂，并且有点超出您提出的问题的范围。

Answer 2

我会先问一个不同的问题：其他用户需要从 sudo 获得什么权限？如果他们只需要能够执行特定操作（例如重新启动服务器）并访问特定文件夹，那么您可以配置 sudo 以仅授予他们以 root 身份执行这些特定操作的权限。您的文件将是安全的，实际上整个系统将具有更强大的安全性。

另一方面，如果用户需要 sudo 以获得除此文件之外的完全 root 访问权限，那么在仍将文件存储在该服务器上的同时无法限制他们的访问权限，因此解决问题的正确方法是存储文件（或者至少是文件的主副本）在其他地方，并且只允许其他用户在需要查看时下载临时副本。毕竟，用户可以更改服务器上的任何内容，包括您尝试对他们设置的任何限制。

然而，所有这一切都只是绕圈子。如果这些人不可信，为什么他们首先拥有 root 访问权限？