suコマンドによるrootへのスイッチを制限する

pamモジュールを使って、suコマンドによるrootアカウントへのスイッチを制限する事が出来ます。

rootアカウントのパスワードが分からなくても、パスワード推測攻撃などによって一般ユーザーからrootアカウントへ昇格されてしまうリスクがありますが、”pam_wheel”PAMモジュールを使うと、suコマンドの使用を”wheel”グループに属するユーザーに限定する事が出来ます。
 

設定方法


 
①”wheel”グループが存在することを確認
 
# grep ^wheel /etc/group
 
②”pam_wheel”PAMモジュールに設定追加
 
“/etc/pam.d/su”内に設定を追加します。
 

suコマンドの使用を”wheel”グループのみに制限する場合


 
下記設定をコメントアウトします。(存在しない場合は追加)
 
auth required pam_wheel.so use_uid
 
この場合、rootアカウントへのスイッチだけでなく、他のユーザーへのスイッチも”wheel”グループ以外のユーザーはできなくなります。
 

rootアカウントへのスイッチのみ制限し、現在実行中のユーザーアカウントを基にチェックする場合


 
下記のように”root_only”オプションを追加します。
 
auth required pam_wheel.so use_uid root_only
 
現在実行中のユーザーアカウントが”wheel”グループに属しているかチェックします。最初にログインしたユーザーがwheelグループに属さない一般ユーザーで、その後、suコマンドでwheelグループに所属するユーザーにスイッチした場合もOKになります。
 

rootアカウントへのスイッチのみ制限し、オリジナルのユーザーアカウントを基にチェックする場合


 
下記のように”use_uid”オプションは外します。
 
auth required pam_wheel.so root_only
 
最初、”wheel”グループに属さないユーザーでログインし、その後、suコマンドで”wheel”グループに属するユーザーになった場合はNGとなります。

関連記事の目次

コメントを残す

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です