logo Debian Debian Debian-France Debian-Facile Debian-fr.org Forum-Debian.fr Debian ? Communautés logo inclusivité

Debian-facile

Bienvenue sur Debian-Facile, site d'aide pour les nouveaux utilisateurs de Debian.

Vous n'êtes pas identifié(e).


L'icône rouge permet de télécharger chaque page du wiki visitée au format PDF et la grise au format ODT → ODT PDF Export

Différences

Ci-dessous, les différences entre deux révisions de la page.

Lien vers cette vue comparative

Les deux révisions précédentes Révision précédente
Prochaine révision Les deux révisions suivantes
doc:systeme:su [14/09/2019 18:01]
Jean-Pierre Pinson [su sous buster]
doc:systeme:su [23/09/2019 09:49]
smolski pt
Ligne 140: Ligne 140:
 //Et voilà aussi simple que ça, pas possible.// ^_^ //Et voilà aussi simple que ça, pas possible.// ^_^
  
 +===== Droits utilisateurs =====
 +
 +Voici un aspect des droits des utilisateurs.
 +
 +- **merlin** : \\
 +//Les comptes sont enregistrés dans le fichier //''​ /etc/passwd ''​ // dans l’ordre chronologique de leur création.//​
 +
 +- **captnfab** : \\
 +Il est important de savoir qui utilise la machine. \\
 +On peut donc distinguer les utilisateurs de type //humain// et les utilisateurs de type //​programme//​.
 +<​note>​En fait, le « type » d'​utilisateur est plus une convention. =)</​note>​
 +Les **utilisateurs système** ont un ID <((le signe ''​ < ''​ signifie un nombre **supérieur** à...)) 1000, n'​autorisent pas de connexion par mot de passe, ils ont souvent :
 +  * un répertoire HOME personnalisé (voire pas de HOME),
 +  * un shell personnalisé (voire un shell désactivé),​
 +  * et peuvent appartenir à un groupe spécial comme //​nogroup//​.
 +De plus, les **utilisateurs humains** appartiennent par défaut à certains groupes (//cdrom//, …). \\
 +Ceci dit, il est tout à fait possible de se loguer en tant qu'un de ces utilisateurs système, par exemple avec :
 +<code user>su - daemon -s/​bin/​bash</​code>​
 +Ou de lancer un programme en tant qu'​utilisateur humain (par exemple, c'est ce qui arrive à chaque fois qu'on lance [[doc:​reseau:​firefox|firefox]]).
 +
 +Certains utilisateurs sont déjà présents par convention (root, bin, daemon, …),
 +  * d'​autres sont introduits par la distribution (groupe adm),
 +  * et d'​autres sont amenés par l'​installation de paquets ([[doc:​reseau:​ssh|sshd]],​ …).
 +
 +**merlin** a écrit : \\
 +//Je pense qu’une application qui utilise la connection réseau Internet, y compris une connexion //​frauduleuse//,​ doit obligatoirement avoir un compte (avec les privilèges nécessaires) dans le registre ''​ /etc/passwd '',​ afin de pouvoir //passer// le [[doc:​reseau:​iptables-pare-feu-pour-un-client|pare-feu]].//​
 +
 +Un programme est tout le temps attribué à un utilisateur. \\
 +Tous les utilisateurs ont le droit d'​accéder au réseau s'il est en place. \\
 +**Mais pas tous** ont le droit d'​établir une connexion et de configurer le réseau car ceci nécessite des privilèges,​ qui peuvent être délégués,​ ou actionnés via dbus !
 +<note tip> ​ * Un daemon tourne avec ces privilèges et écoute sur le dbus,  * un programme utilisateur envoie une requête dbus au premier…</​note>​
 +
 +La notion de compte « humain » n'est qu'un ensemble de paramètres par défaut, une fois le compte créé, c'est un compte, et puis c'est tout.
 +
 +[[doc:​systeme:​superutilisateur|root]] est le nom d'​utilisateur du super-utilisateur,​ c'est à dire de l'​utilisateur d' ''​ ID 0 ''​.
 +<note warning>​Il n'y a qu'un seul super-utilisateur,​ c'est root. Il est possible mais très fortement déconseillé,​ d'​ajouter d'​autres utilisateurs au groupe root. Cela ne fera pas d'eux des super-utilisateurs,​ ils pourront simplement modifier/​lire/​exécuter les fichiers qui n'​étaient modifiable/​lisible/​exécutable seulement par le groupe root.</​note>​
 +
 +Cependant, root peut déléguer ses droits en utilisant l'​utilitaire [[doc:​systeme:​sudo|sudo]].
 +
 +  * sudo permet à des utilisateurs vérifiant un certain nombre de règles personnalisables de lancer avec des droits personnalisés des commandes parmi un ensemble de commandes personnalisés.
 +  * La délégation la plus fréquente est d'​autoriser les utilisateurs appartenant au groupe « **sudo** » de lancer avec [[doc:​systeme:​droits-unix|les droits root]] n'​importe quelle commande sur le système avec leur propre mot de passe.
 +  * On peut aussi déléguer à l'​utilisateur //​tartempion//​ le droit d'​exécuter en tant que //​geronimo//​ la commande <​code>/​bin/​false</​code>​sans saisir aucun mot de passe.
 +  * Voir [[doc:​systeme:​man|le manuel]] de sudo pour plus de détails (bien qu'il ne soit pas forcément très simple à lire).<​code user>man sudo</​code>​
 +
 +
 +
 +merlin a écrit :
 +
 +    Définitions des comptes utilisateurs (version 3)
 +    *compte administrateur root=compte système : possède tous les privilèges. Administrateur de type root. Super-utilisateur par défaut, appartient au groupe root.
 +    *compte super-utilisateur non-root : utilisateur inscrit au groupe root ?
 +    *compte administrateur sudo : utilisateur inscrit au groupe sudo, ce qui lui permet d’accéder au compte root via son mdp personnel. Administrateur de type sudo ;
 +    *compte utilisateur ​ NP (Non Privilégié):​ Utilisateur standard ou simple. Ne peut pas administrer le système, car il ne connaît pas le mdp root et n’est pas inscrit au groupe sudo ni au groupe root.
 +
 +<note important>​Il ne faut pas mélanger les appelations sémantiques à géométrie variable et les termes techniques.</​note>​
 +Ainsi, « //​administrateurs//​ » est un terme sémantique qui désigne une personne gérant la machine. \\
 +Il peut y avoir différents niveaux d' « //​administrateur//​ ». Si on parle du compte super-utilisateur,​ utilisons de préférence la terminologie « //compte root// » ou « //compte super-utilisateur//​ ». \\
 +En effet, il existe par exemple le groupe « //adm// » qui permet aux personnes « //​administrant la machine// » de, sans être root, accéder aux [[doc:​systeme-log|logs système]].
 +
 +En ce qui concerne les privilèges,​ il faut distinguer les privilèges que sont les droits du super-utilisateur,​ et les privilèges qui peuvent être « //​délégués//​ » par sudo, su, ou d'​autres programmes.
 +
 +Donc, pour résumer, il y a deux types de comptes utilisateurs réellement distincts :
 +  - le compte utilisateur root
 +  - les comptes utilisateurs non-root
 +
 +Un compte utilisateur peut se voir déléguer des privilèges via sudo, en fonction de son nom d'​utilisateur ou de son groupe.
 +
 +La dénomination « //compte utilisateur principal// » vient de ce que l'​installateur,​ lorsque le mot de passe root est désactivé,​ ajoute automatiquement le premier utilisateur créé lors de l'​installation dans le groupe sudo, ce qui, via la délégation sudo, lui permet de « passer root » et exécuter n'​importe quelle application en tant que root.
 +
 +su permet de se logguer temporairement en tant qu'un utilisateur lambda, notamment root, et demande pour se faire le mot de passe de l'​utilisateur
 +<note tip>sauf si l'​utilisateur lançant su est root.</​note>​
 +La seule « //​délégation//​ » est de donner à la personne connaissant le nom d'​utilisateur et le mot de passe d'un utilisateur,​ les droits de cet utilisateur. \\
 +Par exemple : les droits root si l'​utilisateur connaît le mdp root.
 +
 +sudo est un mécanisme de délégation plus fin, comme indiqué plus haut. \\
 +<note important>​Il ne faut pas confondre l'​application sudo et le groupe sudo.</​note>​
 +Le groupe sudo n'est créé par défaut avec la délégation associée que par convention, et ils peuvent être supprimés/​renommés/​etc. ...
 +
 +Lien de ces précisions sur le forum :
 +  * https://​debian-facile.org/​viewtopic.php?​pid=310902#​p310902
 +
 +//Merci à// **merlin**//​ et// **captnfab**//​ d'​avoir ensemble suscités avec brio ces informations sur l'​utilisation de su et la particularité des comptes utilisateurs.//​
 +
 +Nota :
 +Si certains termes vous échappent, vous pouvez consulter le tuto concernant le système debian dans son ensemble :
 +  * [[doc:​systeme:​gnu-linux|Le système Gnu Linux]] 8-o
 ===== Nota de geek ===== ===== Nota de geek =====
  
doc/systeme/su.txt · Dernière modification: 21/04/2023 13:34 par --gilles--

Pied de page des forums

Propulsé par FluxBB