Я нахожусь в неудачном положении, когда мне приходится давать кому-то, кому я не полностью доверяю, привилегированный доступ к веб-серверу для завершения работы, которую он так и не завершил.
Они получат доступ к серверу удаленно (т.е. я не смогу видеть их экран).
Что можно сделать, чтобы а) упреждающе ограничить любой потенциальный ущерб и б) точно регистрировать все, что они делают, на сервере для последующего анализа, даже если кажется, что все в порядке?
Они будут обновлять веб-приложение.
Заранее спасибо!
--- Дополнительная информация: это сервер Ubuntu AWS.
Вы можете предоставить им непривилегированный аккаунт с sudo доступ, но в /etc/sudoers вы даете доступ только к команде rootsh.
корень регистрирует все, что происходит в корневой оболочке, и вы можете отправить журналы в syslog и немедленно отправить их на внешний сервер.
Это не пуленепробиваемое, но вы должны в какой-то степени доверять этому человеку, чтобы даже задуматься.
Рассмотрим другой подход с использованием инструмента управления конфигурацией. Один из них может удовлетворить ваши потребности и является более мощным: Puppet.
Пусть парень поместит всю конфигурацию в файл Puppet. Преимущества:
Это сводится к следующему: лицу, ответственному за фактическую конфигурацию приложения, не требуется доступ к оболочке, и это обеспечивает способ разделения ответственности между ним и системным администратором (ами).
Обновить:
Также большой практический недостаток: этого комара разбить большой слон может, поэтому он может не соответствовать вашей текущей ситуации. Не все знакомы с Puppet, и низкокачественные определения Puppet хуже, чем сценарий, настраивающий все это.
Это приводит меня к другому похожему, но более простому подходу: пусть парень разработает сценарий, который запускает необходимые команды для изменения конфигурации. Он имеет некоторые из перечисленных выше преимуществ, но при этом не требует такого большого количества инструментов.
Сделайте снимок / сделайте резервную копию перед запуском.
Настройте эту учетную запись так, чтобы ему был предоставлен сеанс экрана (может подключиться с помощью -rx в любое время), возможно, с включенным скриптом ...