Comment activer ou désactiver l'utilisateur root sous Linux

Tous ceux d'entre nous qui ont géré et utilisé des ordinateurs Windows ou Mac ont dû activer ou désactiver l'administrateur ou l'utilisateur root. Aujourd'hui, nous devons savoir comment le faire dans une distribution Linux, l'appeler Fedora, Debian, Ubuntu, etc. toute restriction.

C'est important pour nos rôles en tant qu'administrateurs mais cela peut être une chose dangereuse pour l'ensemble de l'infrastructure si elle est manipulée de manière incorrecte par des personnes sans autorisation ou sans les connaissances nécessaires.

Nous savons que dans certaines distributions Linux, un utilisateur ne peut pas avoir accès au statut d'utilisateur root, nous devons donc ajouter le terme sudo pour que la commande que nous exécutons puisse être traitée correctement, mais certaines tâches doivent être exécutées exclusivement en tant que root par sécurité et pas seulement avec sudo.

Avoir un utilisateur root comporte des risques car il dispose de privilèges absolus sur les modifications du système. Ce compte doit être bien protégé, quelque chose de problématique si nous oublions notre mot de passe. Un détail dans certaines distributions Linux est que le compte root est désactivé par défaut, ce qui conduit à l'utilisation de la commande sudo. Mais si nous préférons que notre compte soit root sans avoir à utiliser cette commande, nous pouvons l'activer directement.

Aujourd'hui nous allons voir comment supprimer cet utilisateur root de nos environnements Linux pour éviter ce type de désagrément. Bien que nous vous montrons comment le faire pour n'importe quelle distribution, voici un exemple de la façon de le faire dans Ubuntu :

Gardez également à l'esprit que dans les systèmes d'exploitation UNIX, on parle spécifiquement de Linux, on peut créer des utilisateurs avec des autorisations administratives mais l'utilisateur qui a plus de pouvoir sur les autres et qui fait très attention à le manipuler est l'utilisateur root qui peut être activé ou utiliser ses autorisations en préfixant sudo, mais s'il est mal manipulé, il peut sans aucun doute avoir des impacts négatifs tant sur la structure du système que sur les informations ou services qui y sont hébergés.

L'utilisateur root a accès à toutes les commandes et tous les fichiers avec des autorisations complètes de lecture, d'écriture ou d'exécution et peut être utilisé pour exécuter tout type de tâche au sein du système d'exploitation, par exemple pour créer, mettre à jour ou supprimer d'autres comptes d'utilisateurs, ainsi que pour installer, mettre à jour ou supprimer des progiciels dont les conséquences peuvent être drastiques.

Une bonne pratique, dans le cas où les informations sont sensibles ou confidentielles, consiste à désactiver l'utilisateur root Linux, mais pour cela, nous devons disposer d'un compte disposant de privilèges administratifs avec lesquels la commande sudo peut être utilisée pour obtenir les privilèges utilisateur root .

Par exemple, nous pouvons créer un compte comme celui-ci :

 useradd -m -c "Solvetic" admin passwd admin 

Avec la commande useradd nous créons l'utilisateur, le paramètre -m signifie que nous allons créer le répertoire personnel de l'utilisateur et le paramètre -c nous permet de spécifier un commentaire pour cet utilisateur.

Après cela, nous devons ajouter l'utilisateur au groupe des administrateurs système à l'aide de la commande usermod, avec le commutateur -a qui ajoute le compte utilisateur et -G qui spécifie un groupe pour ajouter l'utilisateur :

 usermod -aG wheel admin (CentOS / RHEL) usermod -aG sudo admin (Debian / Ubuntu) 

Solvetic expliquera les différentes manières de désactiver cet utilisateur sous Linux. (également un pour l'activer).

1. Activer l'utilisateur root sur Linux

Nous commençons par savoir comment activer un utilisateur root.
Étape 1
Si après avoir désactivé l'utilisateur root pendant un certain temps, nous devons l'utiliser à nouveau, nous pouvons le réactiver dans le système à l'aide de la commande suivante :

 racine de mot de passe sudo

Avec cette commande, ce sera fait.

Étape 2
Dans la fenêtre affichée, nous devons établir un mot de passe pour l'utilisateur root.

2. Désactiver l'utilisateur root et supprimer le mot de passe sous Linux

Étape 1
Pour exécuter ce processus, nous devons changer l'utilisateur avec lequel nous nous sommes connectés à l'utilisateur root, pour cela nous exécutons la commande suivante et entrons notre mot de passe administrateur.

 sudo -s

Étape 2
Une fois que nous sommes en tant qu'utilisateurs root, nous devons exécuter la commande suivante pour supprimer le mot de passe root :

 passwd --lock root 

Étape 3
Cette commande nous permettra de désactiver complètement l'accès à l'utilisateur root, pour le vérifier nous essaierons d'entrer en tant qu'utilisateur root en entrant notre mot de passe et nous verrons ce qui suit :

Étape 4
Une autre des options de sécurité que nous pouvons utiliser avec l'utilisateur root consiste à modifier son mot de passe actuel à l'aide de la commande :

 mot de passe -d racine

Avec cette commande, ce serait fait.

3. Désactiver l'utilisateur root depuis Shell

Le moyen le plus simple de désactiver la connexion de l'utilisateur root est de changer votre shell du répertoire /bin/bash ou /bin/bash en /sbin/nologin, dans le fichier /etc/passwd qui peut être ouvert avec n'importe quel éditeur. :

 sudo nano / etc / passwd

Nous verrons ce qui suit :

AGRANDIR

Là il faut changer la ligne root : x : 0 : 0 : root : / root : / bin / bash par root : x : 0 : 0 : root : / root : / sbin / nologin :

AGRANDIR

Nous enregistrons les modifications à l'aide des touches Ctrl + O et sortons de l'éditeur à l'aide de Ctrl + X.
A partir de maintenant, lorsque l'utilisateur root se connectera, le message "Ce compte n'est actuellement pas disponible" s'affichera, c'est le message par défaut, mais si nous voulons le modifier et configurer un message personnalisé, nous pouvons le faire dans le fichier / etc. / fichier nologin.txt.

4. Désactiver l'utilisateur root via le périphérique de console (TTY)

Cette méthode utilise un module PAM appelé pam_securetty qui n'autorise l'accès root que si l'utilisateur se connecte à un TTY sécurisé, comme défini dans la liste dans :

 /etc/sécurité

Avec ce fichier précédent, il sera possible de spécifier sur quels appareils TTY l'utilisateur root sera autorisé à se connecter, de sorte que, si nous libérons ce fichier, la connexion sera empêchée depuis tout appareil connecté.

Pour créer un fichier vide, nous exécutons la commande suivante :

 sudo mv / etc / securetty /etc/securetty.orig sudo touch / etc / securetty sudo chmod 600 / etc / securetty 

Avec lui, il sera créé.

AGRANDIR

Cette méthode s'applique uniquement aux gestionnaires d'écran comme gdm, kdm et xdm) et aux autres services réseau qui démarrent un TTY, mais pour d'autres programmes comme su, sudo, ssh, le compte root sera accessible.

5. Désactiver le démarrage root via SSH

C'est une méthode courante pour accéder en tant que root via SSH, donc pour bloquer le login de l'utilisateur root, il faudra éditer le fichier /etc/ssh/sshd_config :

 sudo nano / etc / ssh / sshd_config

Là, nous devons décommenter la ligne "PermitRootLogin" et définir sa valeur sur no.

AGRANDIR

Après cela, nous devons mettre à jour la modification en utilisant l'une des lignes suivantes :

 sudo systemctl redémarrer sshd

OU ALORS

 redémarrage du service sudo sshd

Avec ça ce sera fait.

6. Désactiver la racine via PAM

PAM (Pluggable Authentication Modules) est une méthode d'authentification centralisée, modulaire et flexible sur les systèmes Linux. PAM, dans le module /lib/security/pam_listfile.so, vous permet d'effectuer certaines tâches pour limiter les privilèges de comptes spécifiques.

Dans ce module, il sera possible d'établir une liste d'utilisateurs qui ne seront pas autorisés à se connecter via certains services cibles tels que login, ssh et tout programme compatible avec PAM.
Pour ce faire, nous devons accéder et modifier le fichier du service de destination dans le répertoire /etc/pam.d/ avec l'une des options suivantes :

 sudo nano /etc/pam.d/login

OU ALORS

 sudo nano /etc/pam.d/sshd

Nous y ajouterons les éléments suivants :

 auth required pam_listfile.so \ onerr = success item = user sense = deny file = /etc/ssh/niedusers

AGRANDIR

Nous sauvegardons les modifications et quittons l'éditeur.
Nous allons maintenant créer le fichier plat /etc/ssh/niedusers qui doit contenir un élément par ligne et ne pas être accessible par les autres utilisateurs :

 sudo nano/etc/ssh/niedusers

Nous procédons à l'octroi des autorisations :

 sudo chmod 600 / etc / ssh / niedusers

Avec l'une de ces méthodes, nous avons désactivé l'utilisateur root sous Linux.

Nous avons vu comment nous pouvons obtenir cet avantage de sécurité après avoir désactivé l'utilisateur root mais nous devons le faire si nécessaire car si notre système n'est pas accessible par de nombreux utilisateurs ou si nous savons que les personnes qui y accèdent sont de confiance et autorisées, il n'est pas nécessaire de exécuter cette tâche. Si nous en avons encore besoin, vous avez déjà vu à quel point il est facile de réactiver cet utilisateur root dans l'une des sections.

Peut-être vous êtes-vous également retrouvé dans la situation de devoir désactiver l'utilisateur root dans Ubuntu et vous verrez ici un moyen simple de le faire.