LinuxParty

El comando su es un comando especial de Linux que le permite ejecutar un comando como otro usuario y grupo. También le permite cambiar a la cuenta raíz (si se ejecuta sin argumentos) u otra cuenta de usuario especificada.

Todos los usuarios por defecto pueden acceder al comando su . Pero como administrador del sistema, puede deshabilitar su acceso para un usuario o grupo de usuarios, utilizando el archivo sudoers como se explica a continuación.

El archivo sudoers controla el complemento de política de seguridad sudo que determina los privilegios sudo de un usuario. El comando sudo permite a los usuarios ejecutar programas con los privilegios de seguridad de otro usuario (de forma predeterminada, como usuario root).

Para cambiar a otra cuenta de usuario, un usuario puede ejecutar el comando su desde su sesión de inicio de sesión actual como se muestra. En este ejemplo, el usuario javier está cambiando a una cuenta de usuario de prueba . Se le pedirá al usuario javier que ingrese la contraseña para la cuenta de usuario de prueba:

$ su testuser

Cambiar a otro usuario

Para cambiar a la cuenta raíz, un usuario debe tener la contraseña raíz o tener privilegios para invocar el comando sudo. En otras palabras, el usuario debe existir en el archivo sudoers. En este ejemplo, el usuario javier (un usuario sudo) está cambiando a la cuenta raíz.

Después de invocar sudo , se le pide al usuario javier que ingrese su contraseña, si es válida, se le otorga al usuario acceso a un shell interactivo como root:

$ sudo su

Cambiar a usuario raíz

Deshabilitar su acceso para un usuario de Sudo

Para deshabilitar el acceso su para un usuario sudo, por ejemplo, el usuario javier anterior, primero, haga una copia de seguridad del archivo sudoers original ubicado en /etc/sudoers de la siguiente manera:

$ sudo cp /etc/sudoers /etc/sudoers.bak

Luego abra el archivo sudoers usando el siguiente comando. Tenga en cuenta que no se recomienda editar el archivo sudoers a mano, use siempre el comando visudo:

$ sudo visudo

En la sección de alias de comando , cree el siguiente alias:

Cmnd_Alias DISABLE_SU = /bin/su

Luego agregue la siguiente línea al final del archivo, reemplace el nombre de usuario javier con el usuario para el que desea deshabilitar su acceso:

javier ALL=(ALL) NOPASSWD: ALL, !DISABLE_SU

Guarde el archivo y ciérrelo.

Luego pruebe para verificar que la configuración funcione de la siguiente manera. El sistema debería devolver un mensaje de error como este: “ Lo sentimos, el usuario javier no puede ejecutar '/bin/su' como root en linuxparty. ”.

$ sudo su

Deshabilitar el acceso de Su al usuario de Sudo

Deshabilitar su acceso para un grupo de usuarios de Sudo

También puede deshabilitar el acceso a su para un grupo de usuarios de sudo. Por ejemplo, para deshabilitar su acceso para todos los usuarios del grupo admin , modifique la línea:

%admin ALL=(ALL) ALL

a esto:

%admin ALL=(ALL) ALL, !DISABLE_SU

Guarde el archivo y ciérrelo.

Para agregar un usuario al grupo de administración , ejecute el comando usermod (reemplace el nombre de usuario con el usuario real):

$ sudo usermod -aG  admin  username

Para obtener más información sobre su , sudo y sudoers , consulte sus páginas man:

$ man su
$ man sudo
$ man sudoers