Mint nieuwe admin aanmaken en oude admin standaard maken

[verdroidnogaan2]

Zoals jullie in mijn topic "Cursus/onderwijs Linux Mint gezocht" kunnen lezen, wil ik binnen een jaar volledig overgestapt zijn op Linux Mint.

Nu wil ik -net als in Windows- twee verschillende gebruikers hebben, waarvan er één administrator/Sudo is. De standaard-gebruiker is dan de daily driver die altijd toestemming van de admin moet krijgen om programma's te kunnen installeren, te updaten, enz.

In mijn huidige Mint-configuratie heb ik maar één user die ook admin/Sudo is, genaamd Y.
Nu wil ik een extra admin/Sudo maken, genaamd X , en als ik zie dat deze alle admin-taken correct kan uitvoeren, daarna van Y een standaard/niet-Sudo maken en die voortaan als daily driver gebruiken zodat X hierna de enige admin/SU is.

Zitten er haken en ogen aan deze aanpassing?
Zal admin X (die lid is van groep X) zonder problemen ook alle Sudo-taken t.a.v. gebruiker Y (die lid is van groep Y) kunnen uitvoeren?

[ Voor 0% gewijzigd door verdroidnogaan2 op 03-02-2024 13:14 . Reden: SU > Sudo ]

[Hero of Time]

Ik snap niet helemaal wat je bedoelt. Je wilt aan de ene kant 1 privileged gebruiker en 1 unprivileged gebruiker die geen sudo kan gebruiken, maar die unprived gebruiker moet toch nog wel wat admin taken kunnen doen? Hoe zie je dat voor je, zonder sudo rechten?

Standaard wordt er al voor alle admin taken om je wachtwoord gevraagd, zoals software installeren of updaten. Na het ingeven van je wachtwoord wordt de taak uitgevoerd met root rechten. Er is op dat moment geen enkel onderscheid tussen gebruiker X en Y, want het draait onder een derde gebruiker, root.

Welk probleem probeer je op te lossen of wat probeer je precies te bereiken?

[verdroidnogaan2]

Dank @Hero of Time voor je reactie.
Ik vreesde al dat mijn gebrekkige uitleg voor problemen zou zorgen.

Ik denk natuurlijk nog erg op een Windows-wijze. Voor de veiligheid heb ik daarin een niet-admin gebruiker als daily driver en een apart admin-account, zodat in het geval van een breach de inbreker niet meteen op admin-niveau kan huishouden. Immers: de standaard gebruiker kan weinig zonder verhoogde rechten.

Zoiets probeer ik nu ook voor Mint te bewerkstelligen. Mijn huidige Mint-admin/Sudo gebruiker heeft namelijk ook root-rechten (zelfde pw), en ik probeer daar een opstakel tussen te zetten door dagelijks met een niet-admin te werken - want als er op het admin account wordt ingebroken dan heeft ie meteen root-rechten.

Maar ik heb nog weinig kaas gegeten van de elevated rights c.q. Root/SU/Sudo in Linux (Mint), dus wellicht klopt er niets van mijn redenatie.

[ Voor 19% gewijzigd door verdroidnogaan2 op 03-02-2024 13:26 . Reden: SU > Sudo en aanvullingen ]

[pporrio]

Als je de firewall aanzet in Linux Mint blokkeert deze standaard al alle inkomende verbindingen.

Wanneer je inlogt met je user account heeft deze geen root rechten. Pas als die rechten nodig zijn, zal er worden gevraagd om je wachtwoord in te voeren (bijvoorbeeld bij installatie van updates). Dan krijgt je account voor alleen die actie root rechten.

Je loopt m.i. alleen een risico als iemand fysiek toegang heeft tot je pc en je wachtwoord weet.

[verdroidnogaan2]

pporrio schreef op zaterdag 3 februari 2024 @ 13:28:
.......
Je loopt m.i. alleen een risico als iemand fysiek toegang heeft tot je pc en je wachtwoord weet.

Ja, maar is dat wel zo? Tot nu toe zijn er geen breaches van personal Linux-systemen bekend - alleen van Linux-servers, maar het foute volk wordt natuurlijk steeds meer bedreven in het inbreken, dus zou het in de toekomst ook voor Linux gevaarlijker kunnen worden.

Maar misschien ben ik paranoïde

[pporrio]

Dat kan natuurlijk altijd. Niets is waterdicht. Maar zolang je geen gekke dingen doet (lukraak op linkjes klikken vanuit mail of op internet), code van internet zonder na te denken in je terminal plakt en uitvoert, programma's vanuit de standaard repo's installeert, en je firewall aanzet loop je weinig risico.

En Linux distro's krijgen (gelukkig) ook security updates. Dus bekende security leaks worden gedicht.

[verdroidnogaan2]

Ja, ik ben sowieso voorzichtig. Firewall aanzetten is 1 vd eerste dingen die ik doe na installatie.

Zit nu online te kijken naar het draaien van Firefox in aparte standaard user (niet in sudo groep).

[ Voor 20% gewijzigd door verdroidnogaan2 op 03-02-2024 14:01 ]

[Hero of Time]

Waar bij Windows met een admin gebruiker een simpele UAC komt met "toestaan of weigeren", zal bij Linux altijd om een wachtwoord gevraagd worden. Ben je bij Windows geen admin, dan vraagt UAC om gebruiker en wachtwoord. Maar bij Linux krijg je gewoon 'access denied' oid.

Tenzij er een specifieke polkit/policykit regel is om naar gebruiker en wachtwoord te vragen, waarbij naar wat ik heb ervaren altijd een dropdown is met gebruikers met de juiste rechten hebben, zal je tegen veel meer muren aanlopen dan je wilt en zal je met relatief complexe commando's moeten werken.
Relatief complex, omdat je via 'su' moet werken, gebruiker opgeven, dan wachtwoord, dan weer apart sudo en met wat pech gaat het om een grafisch programma en kent het je grafische locatie (zogenoemde $DISPLAY variabele) niet en weigert het dienst omdat het geen GUI kan tonen.

Zaken proberen te verbergen zoals known users of waar ze lid van zijn gaat lastig, want elke gebruiker kan /etc/passwd (hier staan gebruikers in) en /etc/group (hier staan de groepen in met leden) lezen. Het is ook al zo eenvoudig als /home bekijken en je ziet welke gebruikers er zijn waarmee ingelogd wordt.

Dus hoewel je prima met een non-sudo gebruiker kan werken, haal je wellicht meer werk en complexiteit op je hals dan nodig. Met mijn dagelijkse dingen heb ik nooit een wachtwoord nodig om iets te doen, want ik zit niet telkens zaken uit te voeren dat verhoogde rechten nodig heeft.

[verdroidnogaan2]

@Hero of Time Dank voor je uitgebreide antwoord. Je uitleg maakt een boel duidelijk.

Zoals ik al tegen @pporrio zei, kijk ik nu als alternatief/betere oplossing hoe ik Firefox in standaard gebruiker kan draaien.

P.S.Hoe kopieer ik het Firefox profiel naar die standaard gebruiker?

[ Voor 57% gewijzigd door verdroidnogaan2 op 03-02-2024 14:28 . Reden: P.S. ]

[Nickname55]

Je zou het root account een wachtwoord kunnen geven. Dat is niet zo moeilijk. Doe ik ook wel eens. En bij de meeste niet Ubuntu gebaseerde distro's is dat standaard zo. Vervolgens zou je het normale gebruikers account uit het sudo bestand kunnen verwijderen. Dan werkt sudo dus niet meer bij dat account en zal voortaan het root wachtwoord ingevoerd moeten worden bij installeren of updaten.

[verdroidnogaan2]

@Nickname55 Het laatste wat ik als amateur wil doen, is rommelen met root. Dat gaat vèèèèèèèèèèèr boven mijn pet.

Thx anyway

[Nickname55]

Dat is niet "rommelen". Jij wilt een apart administrator account. Dat is root. Via sudo kan je net zoveel ellende aanrichten als met root. Dat maakt niks uit.

Je kunt ook 2 normale gebruikersaccounts aanmaken waarbij de ene wel sudo rechten heeft en de andere niet. Ik denk dat het misschien niet fijn werkt. Vraagt veel discipline. Want onder het account zonder sudo rechten kan je dan echt niks. Maar veilig is het wel denk ik 😊

[verdroidnogaan2]

@Nickname55 Ja, @Hero of Time legde al uit dat dat ingewikkeld wordt. Ga ik dus maar niet doen.

[verdroidnogaan2]

P.S.
Ik probeer nu de Firefox profiel-folder naar de Home-directory van een andere gebruiker te kopiëren, maar ik krijg steeds foutmeldingen als "no such file or directory" en "cannot create directory" enz.

Wat moet ik precies doen??

[ Voor 190% gewijzigd door verdroidnogaan2 op 03-02-2024 15:10 . Reden: Herhaling vraag ]

[verdroidnogaan2]

P.P.S.
Tis gelukt met "sudo cp -r /home/USER1/DIR /home/USER2/DIR && sudo chown USER2:USER2 /home/USER2/DIR"

[Hero of Time]

Heeft die nieuwe gebruiker al een home directory? Dan moet je met sudo je .mozilla map uit je eigen home kopiëren naar de nieuwe gebruiker.

Als je foutmeldingen krijgt bij het uitvoeren van een commando, is het wel zo handig om het exacte commando te noemen. Want de melding krijg ik ook als ik 'rm /bestand/die/niet/bestaat' uitvoer.

[verdroidnogaan2]

@Hero of Time Zoals je misschien hierboven al hebt gezien, is het net gelukt met
"sudo cp -r /home/USER1/DIR /home/USER2/DIR && sudo chown USER2:USER2 /home/USER2/DIR"

Dank voor alle hulp en het duwen in de goede richting

[ Voor 16% gewijzigd door verdroidnogaan2 op 03-02-2024 15:34 ]

[Hero of Time]

Toch een beetje benieuwd waarom je een tweede gebruiker hebt gemaakt en daar je Firefox profiel op wilt hebben. Als die tweede gebruiker bedoelt is voor non-sudo zaken, waarom heb je niet juist die gebruiker gemaakt voor wél sudo zaken en bij je huidige gebruiker het weghalen?

Let trouwens op met een cp -r naar een bestaande map, want het kan zijn dat je de map in de doel kopieert ipv als doel. Dus van map/a naar /map/a kan resulteren in map/a/a.

Tipje voor chown, het volgende gebruikt de primaire groep van de gebruiker zonder die op te geven:

chown user: /target/map

Dit scheelt weer iets.

[verdroidnogaan2]

Hero of Time schreef op zaterdag 3 februari 2024 @ 16:10:
Toch een beetje benieuwd waarom je een tweede gebruiker hebt gemaakt en daar je Firefox profiel op wilt hebben. Als die tweede gebruiker bedoelt is voor non-sudo zaken, waarom heb je niet juist die gebruiker gemaakt voor wél sudo zaken en bij je huidige gebruiker het weghalen?

Het leek me makkelijker om die tweede gebruiker zonder sudo-rechten te maken, zodat ik daar alleen Firefox kan draaien om zelfs 'foute' websites te benaderen zonder bang te hoeven zijn dat ik teveel ellende op mijn hals haal.
Ik heb op dezelfde ssd in een andere partitie al mijn data staan en daar kan gebr.2 nu niet bij.

Hero of Time schreef op zaterdag 3 februari 2024 @ 16:10:
Let trouwens op met een cp -r naar een bestaande map, want het kan zijn dat je de map in de doel kopieert ipv als doel. Dus van map/a naar /map/a kan resulteren in map/a/a.

Tipje voor chown, het volgende gebruikt de primaire groep van de gebruiker zonder die op te geven:

chown user: /target/map

Dit scheelt weer iets.

Helaas spreek je nu abracadabra voor mijn beperkte Linux-kennis... Ik ga je suggestie op een later tijdstip proberen te begrijpen.
Het is in ieder geval (per ongeluk) goed gegaan.

[Croga]

verdroidnogaan2 schreef op zaterdag 3 februari 2024 @ 16:29:
Het leek me makkelijker om die tweede gebruiker zonder sudo-rechten te maken, zodat ik daar alleen Firefox kan draaien om zelfs 'foute' websites te benaderen zonder bang te hoeven zijn dat ik teveel ellende op mijn hals haal.
Ik heb op dezelfde ssd in een andere partitie al mijn data staan en daar kan gebr.2 nu niet bij.

Kom je weer terug op de post die gepind is: Waarom zou je dit willen? Welk gevaar denk je te lopen als je met Firefox naar een "foute" website gaat? Het is nogsteeds niet zo dat die website, of Firefox, iets kan doen zonder dat jij je wachtwoord in moet vullen.

[verdroidnogaan2]

@Croga Het is mijn gebrek aan diepgaande kennis die maakt dat ik niet weet OF/wanneer er iets fout kan gaan.

Het is natuurlijk vrij makkelijk voor iemand met vergaande kennis om mijn Windows-accounts te kraken. Tools in overvloed. Voor zover ik weet is dat met Unix/Linux niet het geval - of in ieder geval minder.

MAAR (< een grote) ik weet niet waar hackers in de nabije toekomst toe in staat zijn.
Daarom handel ik vanuit het principe van "Beter voorkomen dan genezen" en probeer het "Had ik maar..." te vermijden.

[Hero of Time]

Croga schreef op zaterdag 3 februari 2024 @ 16:37:
[...]

Kom je weer terug op de post die gepind is: Waarom zou je dit willen? Welk gevaar denk je te lopen als je met Firefox naar een "foute" website gaat? Het is nogsteeds niet zo dat die website, of Firefox, iets kan doen zonder dat jij je wachtwoord in moet vullen.

Eerste wat in mij op komt is een cryptolocker. Die zijn er ook voor Linux en je wilt liever niet dat al je persoonlijke data plots encrypted is door malafide acties.

Maar dan moet je wel op echt foute sites zitten of die security al laag hebben en makkelijk over te nemen zijn.

[verdroidnogaan2]

@Hero of Time Het nadeel van een cryptolocker is het telkens moeten unlocken. En ik weet niet hoe het op Linux is, maar op MS geeft de cryptolocker vaak ellende.

Zoals ik het nu heb opgezet kan Gebr.2 niet rommelen in het OS, noch bij belangrijke partities.
Dat lijkt me voorlopig voldoende.

[deHakkelaar]

verdroidnogaan2 schreef op zaterdag 3 februari 2024 @ 12:01:
In mijn huidige Mint-configuratie heb ik maar één user die ook admin/Sudo is, genaamd Y.
Nu wil ik een extra admin/Sudo maken, genaamd X , en als ik zie dat deze alle admin-taken correct kan uitvoeren, daarna van Y een standaard/niet-Sudo maken en die voortaan als daily driver gebruiken zodat X hierna de enige admin/SU is.

Wat tips, met onder kun je zien in welke groepen een user zit:

code:

groups <USERNAME>

Bv voor de pi username:

$ groups pi
pi : pi adm dialout cdrom sudo audio video plugdev games users input netdev spi i2c gpio

Met onder kun je groepen toevoegen aan een user:

code:

sudo gpasswd -a <USERNAME> <GROUP>

Bv de pi user lid maken vd www-data groep:

$ sudo gpasswd -a pi www-data
Adding user pi to group www-data

$ groups pi
pi : pi adm dialout cdrom sudo audio www-data video plugdev games users input netdev spi i2c gpio

En met onder kun je groepen weghalen bij een user:

code:

sudo gpasswd -d <USERNAME> <GROUP>

Bv:

$ sudo gpasswd -d pi www-data
Removing user pi from group www-data

$ groups pi
pi : pi adm dialout cdrom sudo audio video plugdev games users input netdev spi i2c gpio

Met onder kun je zoeken welke sudo rechten een bepaalde user heeft en in welk bestandje dit staat geconfigureerd (let op het dakje ^ voor de username):

code:

sudo rgrep ^<USERNAME> /etc/sudoers*

Bv voor de pi user:

$ sudo rgrep ^pi /etc/sudoers*
/etc/sudoers.d/010_pi-nopasswd:pi ALL=(ALL) NOPASSWD: ALL

Die regel gevonden in dat bestandje boven kun je copieren naar een nieuw bestandje met de juiste username aan het begin bv:

$ sudo nano /etc/sudoers.d/dehakkelaar
dehakkelaar ALL=(ALL) NOPASSWD: ALL

Dan heeft die dehakkelaar user dezelfde sudo rechten als de pi user.

Groeps wijzigingen zijn pas aktief als je opnieuw inlogt.
En sudoers wijzigingen zijn onmiddelijk aktief.

[verdroidnogaan2]

@deHakkelaar Wow, te gek. Dat ga ik morgen eens even rustig in laten zinken. Dank!

[Hero of Time]

@deHakkelaar, wat doet gpasswd anders/beter dan usermod? Even snel de manpage bekeken en het heeft over groep admins die de groep kunnen beheren en leden kan toevoegen/verwijderen, maar dat is niet standaard ingericht. Ben dus benieuwd waarom gpasswd over usermod.

En voor sudo rechten, let op voor groepen. Standaard hebben leden van de 'sudo' groep sudo rechten en zal je niet zomaar een gebruiker tegenkomen in sudoers. Groepen kan je overigens onderscheiden van gebruikers omdat groepen met een % beginnen in sudoers.

[deHakkelaar]

@Hero of Time , ik dacht eerst dat gpasswd meerdere groepen kan verwijderen want dat kan usermod niet.
Achteraf kwam ik erachter dat ook gpasswd dit niet kan maar ik was dat pad al ingeslagen

EDIT:

Hero of Time schreef op zaterdag 3 februari 2024 @ 17:41:
Groepen kan je overigens onderscheiden van gebruikers omdat groepen met een % beginnen in sudoers.

$ sudo rgrep ^% /etc/sudoers*
/etc/sudoers:%sudo      ALL=(ALL:ALL) ALL

[ Voor 43% gewijzigd door deHakkelaar op 03-02-2024 18:00 ]

[aawe mwan]

Van de genoemde oplossingingen heb ik er persoonlijk 2 in gebruik (gehad).

Op mijn jumpserver heb ik 2 accounts: eentje met en eentje zonder sudorechten. Het account zonder sudo is het account dat ik gebruik als ik buitenshuis ben en ik wil via deze jumpserver thuis een "SSH tunnel" opzetten naar een andere computer die bij mij thuis staat.
Als ik inlog op dit account (dat kan nog wel), dan kan ik bijvoorbeeld geen updates installeren, want daarvoor zijn sudo rechten nodig. Ik krijg dan een foutmelding als ik het toch probeer.

Op mijn vorige "dagelijkse drijver" draaide ik Thunderbird onder z'n eigen account, in plaats van de user waarmee ikzelf ingelogd ben. Dat account heeft geen sudorechten en heeft alleen leesrechten op zijn eigen bestanden, dus niet op al mijn persoonlijke bestanden. Ik had dit account zo ingesteld, dat als het nodig is ik nog wel persoonlijke bestanden kan uitwisselen via de /tmp directory.

[deHakkelaar]

Hero of Time schreef op zaterdag 3 februari 2024 @ 17:41:
... maar dat is niet standaard ingericht. Ben dus benieuwd waarom gpasswd over usermod.

Ow wat bedoel je met "standaard ingericht"?
gpasswd zit namelijk in de standaard passwd package waar ook usermod een onderdeel van is:

$ dpkg -S /usr/bin/gpasswd
passwd: /usr/bin/gpasswd

$ dpkg -S /usr/sbin/usermod
passwd: /usr/sbin/usermod

EDIT: Ow een verschill, hij is korter

code:

sudo gpasswd -a pi www-data

code:

sudo usermod -aG www-data pi

[ Voor 23% gewijzigd door deHakkelaar op 03-02-2024 18:17 ]

[verdroidnogaan2]

@Hero of Time @deHakkelaar This is going wáááááááy over my head

Maar ga rustig door. Mij stoort het niet

[deHakkelaar]

@verdroidnogaan2 , als je een onbekend commando voorbij ziet komen, raadpleeg dan de man page:

code:

man <COMMANDO>

Niet allen hebben een man page maar velen kennen ook het --help argument:

code:

<COMMANDO> --help

EDIT: Ow en in GNU/Linux zijn er vaak meerdere wegen naar Romen.
Er zijn vaak meerdere commandos die ongeveer hetzelfde kunnen doen.
Beide commandos onder doen exact hetzelfde:

deHakkelaar schreef op zaterdag 3 februari 2024 @ 18:06:

code:

sudo gpasswd -a pi www-data

code:

sudo usermod -aG www-data pi

[ Voor 76% gewijzigd door deHakkelaar op 03-02-2024 18:43 ]

[Hero of Time]

deHakkelaar schreef op zaterdag 3 februari 2024 @ 17:54:
@Hero of Time , ik dacht eerst dat gpasswd meerdere groepen kan verwijderen want dat kan usermod niet.

Dat is het leuke, dat kan usermod dus juist wél. Misschien iets omgedraaid dan je verwacht, maar het effect is hetzelfde. Het zit zelfs in het commando dat je als voorbeeld hebt gebruikt.

code:

   -G, --groups GROUP1[,GROUP2,...[,GROUPN]]]
       A list of supplementary groups which the user is also a
       member of. Each group is separated from the next by a
       comma, with no intervening whitespace. The groups must
       exist.

       If the user is currently a member of a group which is
       not listed, the user will be removed from the group.
       This behaviour can be changed via the -a option, which
       appends the user to the current supplementary group
       list.

Je doet zelf '-aG', voor 'append', maar als je dat nou niet doet en zeg van de 8 groepen waar je al in zit maar 4 opgeeft, wordt je uit de andere 4 gehaald.

Oh, maar wil je het op een logische en verwachte manier doen, kan dat ook:

code:

   -r, --remove
       Remove the user from named supplementary group(s). Use
       only with the -G option.

Dat is het omgedraaide van '-aG'.

deHakkelaar schreef op zaterdag 3 februari 2024 @ 18:06:
[...]

Ow wat bedoel je met "standaard ingericht"?
gpasswd zit namelijk in de standaard passwd package waar ook usermod een onderdeel van is:

$ dpkg -S /usr/bin/gpasswd
passwd: /usr/bin/gpasswd

$ dpkg -S /usr/sbin/usermod
passwd: /usr/sbin/usermod

Het stukje over 'standaard ingericht' is letterlijk het begin van de manpage:

code:

       System administrators can use the -A option to define group
       administrator(s) and the -M option to define members. They
       have all rights of group administrators and members.

       gpasswd called by a group administrator with a group name
       only prompts for the new password of the group.

Je geeft bepaalde gebruikers die geen sudo rechten hebben de rechten om leden van een groep te beheren. Dit is iets wat standaard niet geregeld is, als in, er is geen non-sudo gebruiker die groepen kan beheren.

[deHakkelaar]

@Hero of Time , Ik had al een poging gedaan voordat ik m'n vorige berichtje plaatste maar ik kreeg het toen niet voor elkaar om meerdere groepen tegelijk toe te voegen of te verwijderen met die -a of -r argumenten voor usermod.
Nu net kwam ik erachter dat ik toen een foutje heb gemaakt en de groepen opgaf spatie separated ipv comma separeated.
Oops.

Dus als je meerder groepen tegelijk wilt toevoegen of verwijderen is usermod daar idd goed geschikt voor:

$ groups dummy_user
dummy_user : dummy_user users

$ getent group
[..]
dummy_user:x:1001:
group1:x:1002:
group2:x:1003:
group3:x:1004:

Toevoegen:

$ sudo usermod -aG group1,group2,group3 dummy_user
$

$ groups dummy_user
dummy_user : dummy_user users group1 group2 group3

Verwijderen:

$ sudo usermod -rG group1,group2,group3 dummy_user
$

$ groups dummy_user
dummy_user : dummy_user users

Ik doe dit ook niet elke dag