CentOS 5 管理ユーザーと su 制限 – wheel グループで権限を分ける

CentOS 5 世代のサーバーでは、root で直接作業する運用が残っていることがあります。しかし、管理作業の責任分界を考えるなら、管理ユーザーを作成し、必要な時だけ su で root へ昇格する構成の方が扱いやすくなります。

この記事では、CentOS 5 で管理ユーザーを作成し、wheel グループを使って su を制限する考え方を確認します。

管理ユーザーを作成する

まず管理用ユーザーを作成し、パスワードを設定します。ユーザー名は環境に合わせて読み替えます。

sudo useradd adminuser
sudo passwd adminuser

古い環境では sudo が十分に整備されていない場合もあります。既存環境では、root ログイン、su、sudo のどれを正式な管理経路にするのかを明確にしておくことが重要です。

wheel グループへ追加する

CentOS 5 では、wheel グループに所属するユーザーだけが su できるように制限する運用がよく使われます。

sudo usermod -aG wheel adminuser
id adminuser

PAM で su を制限する

/etc/pam.d/su で wheel グループ制限を有効にします。既存設定を確認してから変更します。

grep -n 'pam_wheel' /etc/pam.d/su
sudo cp -a /etc/pam.d/su /etc/pam.d/su.bak.$(date +%Y%m%d%H%M%S)
sudo sed -i 's/^#auth[[:space:]]\+required[[:space:]]\+pam_wheel.so use_uid/auth required pam_wheel.so use_uid/' /etc/pam.d/su

既存の PAM 設定はサーバーによって差があります。コメントアウトを外すだけでよい場合もあれば、手動で行を追加する必要がある場合もあります。

確認する

su -
groups adminuser
grep wheel /etc/group

確認では、wheel グループに入っているユーザーが su できること、入っていないユーザーが su できないことを両方確認します。

まとめ

CentOS 5 の管理ユーザー設計では、root 直接作業を避け、wheel グループで昇格できるユーザーを絞ることが基本になります。現在の sudo 中心の運用とは違いますが、古いサーバーの権限設計を読む上では重要な前提です。

関連する記事

参考書籍

関連記事

CentOS 8 sudo – wheel グループと sudoers の確認 CentOS 5 LDAP 参照設定 – setup コマンドで LDAP クライアントを構成する CentOS 5 BIND 内部 DNS サーバー構築 – named chroot とゾーン設定 CentOS 5 Samba ファイルサーバー構築 – OpenLDAP 連携と共有設定 CentOS 5 syslogd ログサーバー構築 – syslog の受信と転送 CentOS 5 Net-SNMP 設定 – snmpd と監視項目の基本 CentOS 5 不要サービスの停止 – chkconfig で起動状態を確認する CentOS 5 ネットワーク設定 – ifcfg と network サービスの基本