Вопрос по правам

Приветствую Вас Уважаемые форумчане!
Вопрос следующий: существует сервер на Centos'e, по мимо рута, есть еще один пользователь (назовем его просто user)! Требуется сделать так, чтобы пользователь user не смог ВООБЩЕ использовать команды консоли! Ну или запретить как можно больше! Делается это чисто для безопасности, все кому "разрешено" заходить на сервер, используют рут!
Пробовал в /etc/security/access.conf указать "- : user : ALL", так не сработало!
Все заранее спасибо за помощь!

С ув., Алексей!

Craken написал:

Требуется сделать так, чтобы пользователь user не смог ВООБЩЕ использовать команды консоли!

А для чего нужен такой «ущербный» пользователь?
Используйте для этого пользователя chroot с ограниченным набором команд.

Lupo Alberto написал:

[quote=Craken]Требуется сделать так, чтобы пользователь user не смог ВООБЩЕ использовать команды консоли!

А для чего нужен такой «ущербный» пользователь?
Используйте для этого пользователя chroot с ограниченным набором команд.[/quote]
Дело в том, что этот пользователь нужен только для того, чтобы ПО которое работает на сервере, работало НЕ от рута.....

Craken написал:

Дело в том, что этот пользователь нужен только для того, чтобы ПО которое работает на сервере, работало НЕ от рута.....

Так такие пользователи уже есть, заметьте, у меня обычный ноутбук, у вас на сервере их больше:

# grep nologin /etc/passwd
sshd:x:22:22:added by portage for openssh:/var/empty:/sbin/nologin
messagebus:x:101:407:added by portage for dbus:/dev/null:/sbin/nologin
haldaemon:x:102:199:added by portage for hal:/dev/null:/sbin/nologin
dhcp:x:103:104:added by portage for dhcp:/var/lib/dhcp:/sbin/nologin
ntp:x:123:123:added by portage for ntp:/dev/null:/sbin/nologin
polkituser:x:104:103:added by portage for polkit:/dev/null:/sbin/nologin
cron:x:16:16:added by portage for cronbase:/var/spool/cron:/sbin/nologin
vnstat:x:105:998:added by portage for vnstat:/dev/null:/sbin/nologin
transmission:x:106:997:added by portage for transmission:/dev/null:/sbin/nologin
mediatomb:x:107:996:added by portage for mediatomb:/dev/null:/sbin/nologin

Да и редко какое «правильное» серверное ПО не имеет такого «псевдопользователя» и требует привилегий root'а для своей работы.

Craken написал:

Вопрос следующий: существует сервер на Centos'e, по мимо рута, есть еще один пользователь (назовем его просто user)! Требуется сделать так, чтобы пользователь user не смог ВООБЩЕ использовать команды консоли!

отберите у него /bin/sh

Craken написал:

Дело в том, что этот пользователь нужен только для того, чтобы ПО которое работает на сервере, работало НЕ от рута.....

всё верно. И пароль отберите. Заходить туда тоже никому не надо. В /etc/shadow вместо хеша пароля пропишите !, а в /etc/passwd пропишите /sbin/nologin (или что там в вашем дистре принято)

Всем Спасибо за ответы!

отберите у него /bin/sh

Каким лучше способом это можно сделать?

Каким лучше способом это можно сделать?

Как-то так:

usermod -s /sbin/nologin -d /dev/null

...либо прямым редактированием файла /etc/passwd.

Lupo Alberto написал:

Каким лучше способом это можно сделать?

Как-то так:

usermod -s /sbin/nologin -d /dev/null

...либо прямым редактированием файла /etc/passwd.

Я прошу прощение за то что не совсем ясно выразился!
Возможность логинится я убил уже, я хотел уточнить про способ отключения /bin/sh
Спасибо!

Craken написал:

Я прошу прощение за то что не совсем ясно выразился!
Возможность логинится я убил уже, я хотел уточнить про способ отключения /bin/sh

Да, остаётся возможность сделать

[console]# sudo -u user /bin/sh[/console]

(если мы в убунте, или если у нас есть права рута)

Кроме того, при наличие уязвимости в вашем сервере, можно выполнить /bin/sh из него. Это конечно неприятно, но не фатально - особых разрушительных последствий не будет. В крайнем случае, можно поместить этот сервер в chroot, но это сложнее, и, ИМХО, не имеет особого смысла.

ЗЫЖ я так браузер защитил недавно.