Linux-Benutzer und Berechtigungen

Aufgaben

1. 1. Gruppe 'devs' anlegen

   Begriff: Gruppe. Gruppen bündeln Benutzer mit gleichen Rechten. Statt jeder Person einzeln Rechte zu geben, vergibst du sie einmal an die Gruppe — das ist die Grundlage sauberer Rechteverwaltung.

   Lege eine Gruppe namens devs an:

   sudo groupadd devs

   Kontrolle: getent group devs gibt eine Zeile aus, die mit devs: beginnt.

2. 2. Benutzer 'developer' anlegen und Gruppe zuweisen

   Begriff: Benutzer & Gruppenzugehörigkeit. Ein neuer Benutzer gehört nur dann zur Gruppe devs, wenn du ihn ausdrücklich zuweist. Das -m legt zugleich sein Home-Verzeichnis an (/home/developer), das er für eigene Dateien braucht.

   Lege den Benutzer developer an und nimm ihn in die Gruppe devs auf:

   sudo useradd -m -G devs developer

   Kontrolle: id developer zeigt developer und in den Gruppen devs; /home/developer existiert.

3. 3. Projektverzeichnis mit Gruppenrechten

   Begriff: Besitz & das SGID-Bit. Der Gruppenbesitz entscheidet, wer in einem Verzeichnis schreiben darf. Das SGID-Bit (die führende 2 in 2775) sorgt dafür, dass neue Dateien automatisch die Gruppe des Verzeichnisses erben — sonst gehört jede neue Datei der Gruppe des Erstellers und das Team verliert den Zugriff.

   Lege das Verzeichnis an, setze Besitzer und Rechte:

   sudo mkdir -p /opt/project
   sudo chown root:devs /opt/project
   sudo chmod 2775 /opt/project

   Kontrolle: stat -c '%U:%G %a' /opt/project ergibt root:devs 2775.

4. 4. sudo-Zugang für devs-Gruppe

   Begriff: gezielte sudo-Regel (NOPASSWD). Statt vollen Admin-Zugang zu geben, erlaubst du der Gruppe devs genau einen Befehl ohne Passwort — Least Privilege. Solche Regeln gehören in eigene Dateien unter /etc/sudoers.d/.

   Erstelle die Datei (sudo nano /etc/sudoers.d/devs) mit dem Inhalt:

   %devs ALL=(ALL) NOPASSWD: /bin/systemctl restart nginx

   ⚠️ Prüfe die Syntax immer mit sudo visudo -c -f /etc/sudoers.d/devs — ein Fehler in einer sudoers-Datei kann sudo komplett sperren.

   Kontrolle: /etc/sudoers.d/devs enthält eine %devs-Regel mit NOPASSWD für systemctl restart nginx.

5. 5. SUID-Binaries aufspüren

   Begriff: SUID. Ein SUID-Programm läuft mit den Rechten seines Besitzers (oft root) statt mit denen des Aufrufers. Beispiel: /usr/bin/passwd darf dein Passwort in /etc/shadow (nur root) ändern. SUID ist nötig, aber jede Lücke darin bedeutet sofortige Rechteausweitung — deshalb verschafft man sich einen Überblick (Audit).

   Finde alle SUID-Programme und schreibe sie in eine Audit-Datei:

   find / -perm -4000 -type f 2>/dev/null > /home/student/suid-audit.txt

   -perm -4000 filtert das SUID-Bit; 2>/dev/null unterdrückt Fehlermeldungen zu gesperrten Verzeichnissen.

   Kontrolle: /home/student/suid-audit.txt ist nicht leer und enthält u. a. /usr/bin/passwd.