Një server Linux nuk bëhet i sigurt vetëm sepse ka një fjalëkalim të fortë. Kontrolli real fillon me pyetjen: kush hyn në sistem, çfarë mund të bëjë dhe për sa kohë? Të kuptosh si të menaxhosh përdorues në Linux është një aftësi bazë për çdo kandidat që synon administrimin e sistemeve, rolet e IT Support ose punën me serverë në rrjet.
Në një laborator mund të krijosh disa përdorues për testim. Në një kompani, i njëjti proces përcakton nëse një punonjës ka akses vetëm në dokumentet e ekipit të tij apo mund të ndryshojë konfigurimin e gjithë serverit. Prandaj, administrimi i përdoruesve nuk është thjesht një seri komandash. Është kombinim i identitetit, autorizimit, grupeve, lejeve dhe disiplinës së sigurisë.
Si të menaxhosh përdorues në Linux në mënyrë të strukturuar
Linux është sistem shumëpërdorues. Kjo do të thotë se disa persona dhe procese mund të punojnë në të njëjtin sistem, secili me identitet dhe privilegje të përcaktuara. Çdo përdorues lidhet me një identifikues numerik, të quajtur UID, ndërsa grupet përdorin GID.
Në praktikë do të hasësh dy kategori kryesore. Përdoruesit e zakonshëm përdoren nga persona realë dhe kanë privilegje të kufizuara. Përdoruesit e sistemit krijohen për shërbime, si web server, databazë ose procese të tjera që duhet të ekzekutohen pa përdorur llogarinë administrative.
Llogaria `root` ka kontroll të plotë mbi sistemin. Ajo mund të lexojë, ndryshojë ose fshijë pothuajse çdo objekt. Për këtë arsye, përdorimi i vazhdueshëm i root për punë të përditshme është praktikë e dobët. Gabimi i bërë si root ka pasoja më të mëdha se i njëjti gabim në një llogari standarde.
Informacioni bazë për përdoruesit ruhet te skedari `/etc/passwd`, ndërsa fjalëkalimet e koduara dhe informacionet e tyre ruhen te `/etc/shadow`. Grupet gjenden te `/etc/group`. Këta skedarë janë thelbësorë për diagnostikim, por nuk duhen modifikuar manualisht pa arsye të fortë. Komandat administrative reduktojnë rrezikun e formatimit të gabuar ose të ndryshimit të paqëllimshëm të të dhënave kritike.
Krijimi i një përdoruesi të ri
Komanda më e përdorur për krijimin e përdoruesve është `useradd`. Në shumë shpërndarje Linux, një mënyrë e qartë për të krijuar përdoruesin `elira` bashkë me direktorinë e saj personale është:
“`bash sudo useradd -m elira “`
Opsioni `-m` krijon direktorinë `/home/elira`. Pa të, përdoruesi mund të krijohet, por ambienti i tij personal mund të mungojë. Ky është një detaj i vogël që shpesh shkakton probleme gjatë konfigurimit të profileve, skedarëve personalë dhe aksesit përmes SSH.
Më pas vendos fjalëkalimin:
“`bash sudo passwd elira “`
Në shpërndarje si Ubuntu ose Debian përdoret shpesh edhe komanda interaktive `adduser`. Ajo kërkon disa të dhëna shtesë dhe krijon përdoruesin me parametra më miqësorë për administratorin fillestar. Nga ana tjetër, `useradd` është më e zakonshme në skripte dhe në administrim të standardizuar, sepse kontrollon me saktësi opsionet.
Kur krijon një përdorues për punë reale, kontrollo menjëherë nëse llogaria ekziston dhe me cilat grupe lidhet:
“`bash id elira “`
Rezultati tregon UID, GID dhe anëtarësimin në grupe. Kjo është shumë më e dobishme sesa të supozosh se konfigurimi është kryer saktë.
Parametra që vlejnë të njihen
Një administrator nuk krijon çdo përdorues me të njëjtën konfigurim. Për shembull, mund të specifikosh shell-in e hyrjes:
“`bash sudo useradd -m -s /bin/bash elira “`
Nëse llogaria përdoret vetëm nga një shërbim dhe nuk duhet të lejojë hyrje interaktive, mund të përdoret një shell si `/usr/sbin/nologin`. Gjithçka varet nga roli i llogarisë. Një përdorues për një administrator sistemi ka nevoja të ndryshme nga një përdorues teknik i krijuar për një aplikacion.
Mund të shtosh edhe përshkrim me opsionin `-c`, i cili ndihmon në mjedise ku ka shumë llogari:
“`bash sudo useradd -m -c “Elira Hoxha – Help Desk” elira “`
Ky informacion nuk jep privilegje, por e bën administrimin më të qartë kur kontrollon përdoruesit muaj më vonë.
Grupet: mënyra e saktë për të ndarë aksesin
Në vend që t’u japësh leje të veçanta dhjetë përdoruesve një e nga një, krijo një grup dhe administro aksesin përmes tij. Kjo është qasja që shkallëzohet më mirë në serverë profesionalë.
Për shembull, krijo një grup për ekipin e zhvillimit:
“`bash sudo groupadd developers “`
Pastaj shto përdoruesin në këtë grup:
“`bash sudo usermod -aG developers elira “`
Opsioni `-aG` është kritik. `-G` vendos grupet shtesë, ndërsa `-a` siguron që grupet ekzistuese të përdoruesit të mos zëvendësohen. Një komandë e shkruar gabim mund t’i heqë përdoruesit anëtarësimin nga grupe të rëndësishme, përfshirë grupet që i japin akses administrativ.
Për të parë anëtarët e një grupi, mund të përdorësh:
“`bash getent group developers “`
Grupet lidhen drejtpërdrejt me lejet e skedarëve. Nëse një dosje i përket grupit `developers`, mund të konfigurohet që anëtarët e atij grupi të lexojnë, shkruajnë ose ekzekutojnë përmbajtjen sipas nevojës. Kjo është më e menaxhueshme se dhënia e aksesit individual për secilin emër përdoruesi.
Lejet e skedarëve dhe parimi i privilegjit minimal
Kur shikon rezultatin e komandës `ls -l`, mund të hasësh një rresht të tillë:
“`bash -rw-r—– 1 elira developers 2450 report.txt “`
Pjesa `rw-r—–` tregon lejet për pronarin, grupin dhe të tjerët. Pronari `elira` mund ta lexojë dhe ndryshojë skedarin. Grupi `developers` mund vetëm ta lexojë. Përdoruesit e tjerë nuk kanë akses.
Ky model duhet të ndjekë parimin e privilegjit minimal: një përdorues merr vetëm aksesin që i nevojitet për detyrën e tij. Nëse një kursant duhet të lexojë log-e për diagnostikim, nuk ka arsye t’i jepet mundësia t’i fshijë ato. Nëse një aplikacion duhet të lexojë një konfigurim, nuk duhet domosdoshmërisht të ketë të drejtë ta ndryshojë.
Pronësia ndryshohet me `chown`, ndërsa grupi me `chgrp`. Për shembull:
“`bash sudo chown elira:developers report.txt “`
Lejet ndryshohen me `chmod`. Për një skedar që duhet të lexohet dhe shkruhet nga pronari, por vetëm të lexohet nga grupi, mund të përdoret:
“`bash chmod 640 report.txt “`
Vlera 640 nuk është numër për t’u mësuar përmendësh pa kuptim. Ajo përfaqëson 6 për pronarin, pra lexim dhe shkrim, 4 për grupin, pra vetëm lexim, dhe 0 për të tjerët. Në laborator, provo ndryshime të kontrolluara dhe verifiko efektin duke hyrë me përdorues të ndryshëm.
Akses administrativ me sudo
Shumica e administratorëve nuk hyjnë direkt si root. Ata përdorin `sudo` për të ekzekutuar vetëm komandat që kërkojnë privilegje të larta. Kjo krijon kontroll më të mirë dhe, në varësi të konfigurimit, ruan gjurmë të komandave administrative.
Në Ubuntu, përdoruesi zakonisht shtohet në grupin `sudo`:
“`bash sudo usermod -aG sudo elira “`
Në disa shpërndarje të bazuara në Red Hat, grupi përkatës mund të jetë `wheel`:
“`bash sudo usermod -aG wheel elira “`
Mos i jep të gjithë ekipit akses sudo vetëm për lehtësi. Ky privilegj duhet t’u jepet personave që kanë përgjegjësi reale administrative. Në mjedise më të kontrolluara, skedari `sudoers` mund të kufizojë edhe komandat specifike që një përdorues lejohet të ekzekutojë. Ky konfigurim bëhet me `visudo`, jo duke redaktuar skedarin drejtpërdrejt, sepse një gabim sintaksor mund të bllokojë aksesin administrativ.
Modifikimi, bllokimi dhe heqja e llogarive
Administrimi i përdoruesve vazhdon gjatë gjithë ciklit të jetës së llogarisë. Një punonjës mund të ndryshojë ekip, të ketë nevojë për shell tjetër ose të largohet nga organizata. Për të ndryshuar emrin e përdoruesit, direktorinë personale apo parametrat e tjerë përdoret `usermod`.
Kur një llogari nuk duhet të përdoret përkohësisht, bllokimi është shpesh zgjedhje më e mirë se fshirja:
“`bash sudo passwd -l elira “`
Kjo ruan skedarët dhe konfigurimet për auditim ose rikthim të mundshëm. Për ta riaktivizuar llogarinë përdoret `passwd -u elira`.
Kur llogaria duhet hequr përfundimisht, përdoret:
“`bash sudo userdel -r elira “`
Opsioni `-r` heq edhe direktorinë personale dhe mailbox-in. Kjo komandë duhet përdorur me kujdes. Në një server pune, kontrollo fillimisht nëse skedarët duhet arkivuar, nëse përdoruesi zotëron skedarë në zona të përbashkëta dhe nëse ndonjë proces i automatizuar ekzekutohet ende me atë identitet.
Gabimet që kushtojnë më shumë se një komandë e gabuar
Gabimi më i zakonshëm është dhënia e aksesit të tepërt sepse duket më e shpejtë. I dyti është menaxhimi individual i lejeve, pa përdorur grupe. I treti është harrimi i llogarive të vjetra, sidomos llogarive të kontraktorëve ose përdoruesve të testimit.
Kontrollo periodikisht kush ka akses në sistem, cilët përdorues janë pjesë e grupeve administrative dhe cilat llogari nuk janë përdorur prej kohësh. Fjalëkalimet e forta, autentikimi me çelësa SSH dhe çaktivizimi i hyrjes së drejtpërdrejtë si root e forcojnë më tej këtë proces. Sidoqoftë, masa e duhur varet nga mjedisi: një server laboratori ka kërkesa të ndryshme nga një server që mban të dhëna biznesi.
Në trajnimin Linux Server, puna me përdorues, grupe dhe leje duhet të praktikohet në skenarë konkretë, jo vetëm të mësohet si teori. Kur krijon një ekip, ndan një dosje të përbashkët, kufizon privilegjet dhe teston aksesin nga llogari të ndryshme, fillon të mendosh si administrator sistemi. Kjo mënyrë pune e bën komandën të dobishme dhe vendimin teknik të mbrojtshëm.