Consulta sobre usuarios en CentOS

[Antonio_1987]

Hola con todos, qué tal. Estoy haciendo una intranet en PHP y MYSQL sobre una plataforma CentOS. Soy nuevo en todo esto y quería estar al tanto sobre algunas cosas de configuración y seguridad.

Específicamente, quisiera saber si hay manera de "deshabilitar" en Linux el superusuario root, es decir si es posible dejarlo fuera del alcance de cualquier usuario de la intranet con conocimientos informáticos. No sé si el Linux haga esto por defecto, o si mi pregunta sea descabellada, por eso me gustaría que me den algunas luces...

Para hacer una analogía: los usuarios finales de la intranet se conectarán a MySQL mediante un usuario que no será root sino uno con permisos limitados. Sólo el administrador podría conectarse mediante el root, y por consola. Pues algo similar es lo que quiero hacer en el CentOS, a nivel de sistema operativo... Y pues quisiera saber si es posible o si el root siempre estará al alcance de algún usuario final avanzado.

Espero me puedan guiar, muchas gracias.

[BrujoNic]

Estas confundido. Una cosa es o son los usuarios del Sistema Operativo (SO) y otra el acceso a una intranet que nada tiene que ver ya que son usuarios completamente diferentes y estos (si sabes programar) se deben administrar por la Base de Datos MySQL.

¿Qué ganas con quitarle la seguridad al CentOS? Absolutamente nada y el único perjuicio es que todos van a poder acceder o violar la seguridad.

En una intranet, el concepto usuario/BD es completamente diferente.

[Antonio_1987]

Hola, gracias por tu respuesta. Pues el ejemplo que puse sobre MySQL (que los clientes de la Web se conectarían a la BD, no mediante el root, sino mediante un usuario con permisos limitados sobre algunas tablas), tengo claro que es en referencia a usuarios de base de datos, no a los del sistema operativo (al root de MySQL, no al de CentOS).

Lo que quería saber es justamente si hay algo parecido a nivel de CentOS, que así como los clientes se conectan a MySQL mediante un usuario de BD, digamos, "Invitado", de igual manera se pudiese controlar que "ingresen" a la carpeta /var/www/html sólo como "invitados" y no tengan posibilidad de llegar al SO como root.

¿Debo crear un usuario limitado en CentOS y que el servidor esté abierto siempre con ese usuario? ¿Hay maneras de poner el superusuario root fuera del alcance de cualquier cliente remoto? Espero haberme explicado mejor, no quiero "desaparecer" el root para quitarle seguridad al CentOS, sino ver si hay maneras de "protegerlo" de cualquier cliente Web que quiera tener privilegios sobre el SO, mover carpetas, borrar ficheros, etc, etc. Un saludo.

[BrujoNic]

Ahí es una combinación de SO y permisos de Apache.

Si podes lógicamente crear todos los usuarios que quieras en Linux y con los permisos que quieras y con respecto a la carpeta del sitio web, es donde debes darle permiso a dicha carpeta para que entren, sea solo lectura, que puedan modificar, etc.

Y con apache, es donde podes poner permisos para que esa carpeta no se vea o no sea accedida poniendo la ruta relativa en cualquier navegados.

[EnriqueK]

Busca por "access contrl lists" (ACL), por ejemplo
https://wiki.archlinux.org/index.php..._Control_Lists
En tu caso pongamos que creas dos grupos de usuarios grupo1 con solo permisos de lecrura , la orden quedaría así

Código BASH:

# setfacl -m "g:grupo1:r--" R /var/www
 

grupo2 con permisos de lectura y esctitura, la orden quedaria así

Código BASH:

# setfacl -m "g:grupo2:rw-" R /var/www
 

supongamos además que un usuario tenga todos los permisos

Código BASH:

# setfacl -m "u:usuario:rwx" R /var/www
 

En las versiones recientes de las distros, ACL ya viene implementado

[Antonio_1987]

Gracias!, lo probaré y les voy contando, suerte. ;)

[BrujoNic]

OJO, que lo recomendado por EnriqueK, son listas de accesos y eso sólo se utilizaría o yo lo utilizaría si están desarrollando el sitio.

Ya en producción, nadie debería modificar directorios y tampoco dejar expuesto los directorios de desarrollo web.