Как выполнять задачи администратора, не становясь root на Debian?

Question

Как можно выполнить некоторые административные задачи из учетной записи без полномочий root, не становясь пользователем root в Debian 7? Например, мой iptables блокирует весь доступ к сети для всех пользователей, включая root, кроме одного пользователя - «webuser». Веб-пользователь - это учетная запись администратора, он находится в группах admin и adm, он находится в файле sudoers и может использовать sudo. Когда я пытаюсь в качестве «веб-пользователя» использовать apt-get или synaptic через sudo, то после ввода пароля root программа запускается под учетной записью root, а не под webuser, и не может получить доступ к сети.

Существуют ли какие-либо параметры конфигурации, которые можно установить для synaptic или apt-get, чтобы эти программы могли работать под учетной записью без полномочий root?

Answer 1

Запуск менеджеров пакетов под учетной записью без полномочий root - ужасная идея. По умолчанию это невозможно, но вы, вероятно, могли бы как-то связать его, возможно, с помощью некоторой магии chroot. И, вероятно, разрушить вашу систему.

Подумайте о сценарии, в котором вы устанавливаете библиотеку с помощью веб-пользователя, и приложения, использующие эту библиотеку, если она установлена root, не будут иметь к ней доступа.

Некоторые приложения, такие как apache, позволяют вам указать, для какого пользователя и группы должна запускаться программа (в /etc/httpd/conf/httpd.conf для centos), другие не дают вам выбора. Многие приложения необходимо запускать как отдельный пользователь.

Я думаю, что вы могли бы достичь того, что вы хотите, создав группу под названием webuser с доступом к сети, добавив к ней пользователей программ, имеющих доступ к сети, и разрешив членам группы доступ к сети в iptables.

Обратите внимание, что root должен быть частью группы веб-пользователей, чтобы менеджер пакетов работал