为什么本地 root 可以 su 到任何 LDAP 用户？

Question

我们使用 Active Directory 设置了 LDAP 服务器。当用户以 root 身份登录到安装了 LDAP 客户端的 Linux 机器时，他们能够进入任何 Active Directory 帐户，而无需该用户密码。这是一个很大的安全风险，有谁知道这是为什么或如何防止这种情况？

不幸的是，阻止 root 访问不是一种选择，因为某些用户在某些情况下需要这样做。

Answer 1

这是标准的 Unix 设计，你不能真正阻止 root 做他想做的任何事情。

更安全的设计将让用户使用sudosudo 配置，以允许用户只执行他们需要执行的特定任务。Unrestrictedsudo应该仅限于需要它来维护服务器的特定 IT 人员，并且实际的 root 密码应该保存在某个安全的地方。