Dostęp administracyjny (SSH, użytkownicy, uprawnienia)

Scenariusz z życia

Serwer stoi w szafie lub w chmurze. Nie siedzisz przy konsoli — łączysz się zdalnie. Standard to SSH: szyfrowane połączenie, logowanie użytkownikiem i hasłem lub kluczem. Musisz wiedzieć, kto ma prawo do czego: root vs zwykły użytkownik, sudo, grupy, uprawnienia do plików.

Bez SSH nie zarządzisz serwerem po sieci. Bez sensownej polityki użytkowników i uprawnień jeden wyciek hasła lub jeden zły skrypt może zniszczyć cały system.

Co się dzieje w systemie

SSH (sshd): nasłuchuje na porcie 22, przyjmuje połączenia, weryfikuje tożsamość (hasło lub klucz), uruchamia powłokę. Użytkownicy w /etc/passwd, hasła (hash) w /etc/shadow; grupy w /etc/group. Uprawnienia: chmod (rwx dla owner/group/others), chown — kto może czytać, pisać, wykonywać. Sudo: pozwala wybranym użytkownikom wykonywać polecenia jako root bez podawania hasła roota.

Co administrator zyskuje

Zdalna administracja z dowolnego miejsca; jeden kanał (SSH) do konfiguracji, kopiowania plików (scp, rsync), tuneli. Ograniczenie dostępu po użytkownikach i grupach — usługi działają na określonych kontach, pliki mają właścicieli; przy awarii wiesz, co mogło być zmienione i przez kogo.

Typowy błąd

Logować się stale jako root i dawać hasło roota — przy przechwyceniu atakujący ma pełną kontrolę. Albo: sudo bez hasła dla zbyt wielu użytkowników. Albo: pliki usług (np. konfiguracja WWW) z uprawnieniami 777 — każdy może je zmienić. Albo: wyłączyć SSH po zablokowaniu się na zewnątrz (zawsze testuj z drugiej sesji przed restartem sshd).

Myślenie administratora

Dostęp = SSH, najlepiej z kluczem zamiast hasła. Użytkownicy: minimum uprawnień; do zadań administracyjnych sudo, nie logowanie jako root. Uprawnienia plików: tylko to, co potrzebne (np. 640 dla konfiguracji, właściciel root, grupa usługi). Przed zmianą sshd_config — druga sesja otwarta, żeby nie stracić dostępu.

Zapamiętaj – 4 fakty praktyczne

• SSH = standard zdalnej administracji Linuxa; port 22, hasło lub klucz, konfiguracja w /etc/ssh/sshd_config.
• Nie loguj się na co dzień jako root — używaj zwykłego użytkownika i sudo; ogranicz kto ma sudo.
• Uprawnienia: chmod/chown — pliki usług muszą być czytelne dla procesu, ale nie zapisywalne dla wszystkich.
• Przed restartem sshd lub zmianą reguł firewall — upewnij się, że nie zablokujesz sobie jedynej sesji.