Práctica: Cuentas, carpeta de equipo, sudo y ACL

Lo que vas a aprender en este TP

• Gestionar cuentas y grupos
• Aplicar permisos, SGID y ACL
• Delegar con sudo

Introducción #

Lo que vas a aprender en esta sección

• Gestionar cuentas y grupos
• Aplicar permisos, SGID y ACL
• Delegar con sudo

Contexto. Un equipo de desarrollo llega al servidor. Cada uno necesita su cuenta, compartir una carpeta de proyecto y poder reiniciar nginx sin ser root, y un auditor debe poder leer sin modificar.

Requisitos previos: una máquina virtual Ubuntu 24.04 desechable (Multipass, Vagrant o nube) con una cuenta sudo  ·  Duración estimada: 45 min

Un equipo operativo con los permisos justos.

Puesta en práctica #

Pasos guiados, con su corrección.

1. 1. Crear grupos y cuentas

   ¿Por qué? Un grupo lleva los permisos comunes; nunca se dan permisos usuario por usuario.

   Crea el grupo devs, los usuarios alice y bob (miembros de devs), la auditora carol y la cuenta de servicio app sin shell.

2. 2. Crear la carpeta del equipo

   ¿Por qué? El bit SGID hereda el grupo devs: sin él, cada archivo tomaría el grupo personal de su autor.

   Crea /srv/projet del grupo devs, en 2770. Crea un archivo como alice y comprueba que bob puede modificarlo.

3. 3. Proteger un archivo sensible

   ¿Por qué? Un secreto solo debe poder leerlo la cuenta que lo usa.

   Crea /srv/app/app.env propiedad de app en 600 y comprueba que alice no puede leerlo.

4. 4. Dar acceso de lectura con ACL

   ¿Por qué? Las ACL añaden un permiso a una persona sin añadirla al grupo ni abrir a todos.

   Da a carol lectura sobre /srv/projet y sobre los archivos futuros (ACL por defecto). Comprueba que lee pero no escribe.

5. 5. Delegar con sudo

   ¿Por qué? Los desarrolladores deben reiniciar nginx y leer sus logs, no obtener un shell root.

   Instala nginx y crea /etc/sudoers.d/devs permitiendo al grupo devs reiniciar nginx y leer sus logs. Valida la sintaxis y comprueba los derechos de alice.

6. 6. Política y auditoría de cuentas

   ¿Por qué? Las cuentas sin uso o los binarios SUID desconocidos son puertas de entrada.

   Impón la caducidad de la contraseña de alice a 90 días, bloquea a bob, lista las cuentas con UID 0 y los binarios SUID.

Nivel de dificultad : ●●○○○ (2/5)