アカウント名:
パスワード:
共有サーバーのrootパスワード等は、どうしても複数ユーザーが参照できるようにしておく必要があるのでユーザー認証つきのwikiに書いてますね。wikiはLinuxサーバーで動かしているので、それ自体はEmotetへの感染はないはず。
>どうしても複数ユーザーが参照できるようにしておく必要があるので
それ禁止されました。複数ユーザが区別できるように、個人ごとに独立のアカウントを作成し、それぞれでadministrator権限を付加するようになりました。
root(WindowsならAdministrator)が存在する以上、そいつをどうするかって話だろ。普段の作業は各自のアカウントで管理者権限行使出来るようにしておいてrootを使わないのは当然。
それでもwikiはないな。xlsxにパスワードかけて保存してるのと変わらん。ローカルに入られなくともバックアップとか情報流出とかでやばいじゃん。それともファイルを暗号化するwikiなんてあるのか?
> 普段の作業は各自のアカウントで管理者権限行使出来るようにしておいてrootを使わないのは当然。
ですね。ssh公開鍵認証でログインできるようにしてあり、管理者権限についても有象無象な開発サーバーについては NOPASSWD で sudo できるようにしてあるので、root 以外はパスワード自体が不要です。5分間端末を触らないとスクリーンセーバーを起動して端末のパスワード入力を要求するのがルールになっているのでNOPASSWD でもそれほど危なくはないです。部門サーバーについてはパスワードを設定してあり、sudo 時に一応パスワードを要求するようにしてますが。
なおサーバー類
なおサーバー類は鍵付きのサーバールームに置き、root でのリモートログインは禁止してあるので、管理者の入れ替わりがあっても root パスワードを変更する必要はなく、サーバールームの入室権限だけ変更すれば問題ありません。
rootのリモートログイン禁止に加え、suを禁止(もしくはsuを実行できるユーザを厳しく制限)してる、って話ですよね?
管理者の入れ替わりはどうしても避けられないので、共有パスワードのたぐいで頑張るよりもバックアップメディアを安全な場所で管理する方がマシだと判断してます。
他には、n人の内、m人がパスワード認証しないと復元できない、みたいな仕組みはあり得る気がしますね。そんなバックアップソリューションあるのかな? ありそうな気はしますが。
> rootのリモートログイン禁止に加え、suを禁止(もしくはsuを実行できるユーザを厳しく制限)してる、って話ですよね?
はい。PAMの設定でsuできるユーザーをwheelグループに制限しています。sudoできるのもwheelグループ所属のユーザーのみです。
普段使ってるアカウントにAdmin権限付けるのもこえーな。特にDomain Adminともなると。一人情シスだけど、他の一般社員とほとんど同レベルの権限で、必要な時だけAdminでログインしてる。Linuxサーバなんかは個人アカウントで入って、suとかsudoしてるけど。
偉い人があのフォルダも見れるようにしろ、このフォルダも見れるようにしろと危なっかしくて見てられない。あなたのアカウントに何かあった時えらいことになりますよ?と言っても聞かないし。
それ、明確に言質取るなり録音するなりして自己防衛しておかないと、何かあった時一方的に責任取らされるパターンですよね。
一番いいのは申請制にして業務としてワークフローに組み込んでしまうことでしょうかね。
今時はDomain Admin(Windowsだよね?)つけてもUACにより明示的に昇格しないと実行ユーザーに権限はない状態なんだが。(sudoみたいなもん)まさかUAC無効化してるのか。WindowsでもAdministratorでログインするのは初期セットアップを除けば例外中の例外のはず。UACでの昇格をログインとか間違った言葉使ってるのかもしれないけど、危ないのはあなたのほうだと。
うちは、管理者には普段使いアカウントとは別のアカウントを割り当てて、Windows系なら管理者権限を付与、*nix系は別アカウントからsudoしています。別アカウントはフィッシングやウイルス感染からの侵害リスクを減らすため、メールアドレスは割り当てず、ペリメーター外のWeb閲覧は禁止です(後者はシステム的な禁止ができないので運用で)。
一人情シスなら、「別のアカウントを割り当て」を省略してもと思ったけど、普段使いのアカウントが侵害されるリスクが残るので、分けた方がよいのではないでしょうか。
偉い人には、閲覧権限だけ付与した別アカウントを与えてみては? リスクは下げられる(はずだ)し、特別感を醸し出せば喜ぶでしょうし。# アカウント切り替えが面倒だからそのうち使わなくなるので、利用実績を盾に没収すればよい
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
※ただしPHPを除く -- あるAdmin
認証つきのwiki (スコア:0)
共有サーバーのrootパスワード等は、どうしても複数ユーザーが参照できるようにしておく必要があるので
ユーザー認証つきのwikiに書いてますね。
wikiはLinuxサーバーで動かしているので、それ自体はEmotetへの感染はないはず。
Re:認証つきのwiki (スコア:0)
>どうしても複数ユーザーが参照できるようにしておく必要があるので
それ禁止されました。
複数ユーザが区別できるように、個人ごとに独立のアカウントを作成し、それぞれでadministrator権限を付加するようになりました。
Re: (スコア:0)
root(WindowsならAdministrator)が存在する以上、そいつをどうするかって話だろ。
普段の作業は各自のアカウントで管理者権限行使出来るようにしておいてrootを使わないのは当然。
それでもwikiはないな。
xlsxにパスワードかけて保存してるのと変わらん。
ローカルに入られなくともバックアップとか情報流出とかでやばいじゃん。
それともファイルを暗号化するwikiなんてあるのか?
Re: (スコア:0)
> 普段の作業は各自のアカウントで管理者権限行使出来るようにしておいてrootを使わないのは当然。
ですね。
ssh公開鍵認証でログインできるようにしてあり、管理者権限についても有象無象な開発サーバーについては NOPASSWD で sudo できるようにしてあるので、root 以外はパスワード自体が不要です。
5分間端末を触らないとスクリーンセーバーを起動して端末のパスワード入力を要求するのがルールになっているので
NOPASSWD でもそれほど危なくはないです。
部門サーバーについてはパスワードを設定してあり、sudo 時に一応パスワードを要求するようにしてますが。
なおサーバー類
Re:認証つきのwiki (スコア:1)
なおサーバー類は鍵付きのサーバールームに置き、root でのリモートログインは禁止してあるので、
管理者の入れ替わりがあっても root パスワードを変更する必要はなく、サーバールームの入室権限だけ
変更すれば問題ありません。
rootのリモートログイン禁止に加え、suを禁止(もしくはsuを実行できるユーザを厳しく制限)してる、って話ですよね?
管理者の入れ替わりはどうしても避けられないので、共有パスワードのたぐいで頑張るよりも
バックアップメディアを安全な場所で管理する方がマシだと判断してます。
他には、n人の内、m人がパスワード認証しないと復元できない、みたいな仕組みはあり得る気がしますね。
そんなバックアップソリューションあるのかな? ありそうな気はしますが。
Re: (スコア:0)
> rootのリモートログイン禁止に加え、suを禁止(もしくはsuを実行できるユーザを厳しく制限)してる、って話ですよね?
はい。
PAMの設定でsuできるユーザーをwheelグループに制限しています。
sudoできるのもwheelグループ所属のユーザーのみです。
Re: (スコア:0)
普段使ってるアカウントにAdmin権限付けるのもこえーな。特にDomain Adminともなると。
一人情シスだけど、他の一般社員とほとんど同レベルの権限で、必要な時だけAdminでログインしてる。
Linuxサーバなんかは個人アカウントで入って、suとかsudoしてるけど。
偉い人があのフォルダも見れるようにしろ、このフォルダも見れるようにしろと危なっかしくて見てられない。
あなたのアカウントに何かあった時えらいことになりますよ?と言っても聞かないし。
Re: (スコア:0)
偉い人があのフォルダも見れるようにしろ、このフォルダも見れるようにしろと危なっかしくて見てられない。
あなたのアカウントに何かあった時えらいことになりますよ?と言っても聞かないし。
それ、明確に言質取るなり録音するなりして自己防衛しておかないと、何かあった時一方的に責任取らされるパターンですよね。
Re: (スコア:0)
一番いいのは申請制にして業務としてワークフローに組み込んでしまうことでしょうかね。
Re: (スコア:0)
今時はDomain Admin(Windowsだよね?)つけてもUACにより明示的に昇格しないと実行ユーザーに権限はない状態なんだが。
(sudoみたいなもん)
まさかUAC無効化してるのか。
WindowsでもAdministratorでログインするのは初期セットアップを除けば例外中の例外のはず。
UACでの昇格をログインとか間違った言葉使ってるのかもしれないけど、危ないのはあなたのほうだと。
Re: (スコア:0)
うちは、管理者には普段使いアカウントとは別のアカウントを割り当てて、Windows系なら管理者権限を付与、*nix系は別アカウントからsudoしています。
別アカウントはフィッシングやウイルス感染からの侵害リスクを減らすため、メールアドレスは割り当てず、ペリメーター外のWeb閲覧は禁止です(後者はシステム的な禁止ができないので運用で)。
一人情シスなら、「別のアカウントを割り当て」を省略してもと思ったけど、普段使いのアカウントが侵害されるリスクが残るので、分けた方がよいのではないでしょうか。
偉い人には、閲覧権限だけ付与した別アカウントを与えてみては? リスクは下げられる(はずだ)し、特別感を醸し出せば喜ぶでしょうし。
# アカウント切り替えが面倒だからそのうち使わなくなるので、利用実績を盾に没収すればよい