TP : Comptes, dossier d'équipe, sudo et ACL

Ce que vous allez apprendre dans ce TP

• Gérer comptes et groupes
• Appliquer permissions, SGID et ACL
• Déléguer avec sudo

Introduction #

Ce que vous allez apprendre dans cette section

• Gérer comptes et groupes
• Appliquer permissions, SGID et ACL
• Déléguer avec sudo

Contexte. Une équipe de développement arrive sur le serveur. Chacun doit avoir son compte, partager un dossier de projet, pouvoir redémarrer nginx sans être root, et un auditeur doit pouvoir lire sans modifier.

Prérequis : une machine virtuelle Ubuntu 24.04 jetable (Multipass, Vagrant ou cloud) avec un compte sudo  ·  Durée estimée : 45 min

Une équipe opérationnelle avec des droits au plus juste.

Mise en place #

Étapes guidées, avec leur correction.

1. 1. Créer groupes et comptes

   Pourquoi ? Un groupe porte les droits communs ; on ne donne jamais de droits utilisateur par utilisateur.

   Créez le groupe devs, les utilisateurs alice et bob (membres de devs), l'auditrice carol et le compte de service app sans shell.

2. 2. Créer le dossier d'équipe

   Pourquoi ? Le bit SGID fait hériter du groupe devs : sans lui, chaque fichier prendrait le groupe personnel de son auteur.

   Créez /srv/projet appartenant au groupe devs, en 2770. Créez un fichier en tant qu'alice et vérifiez que bob peut le modifier.

3. 3. Protéger un fichier sensible

   Pourquoi ? Un secret ne doit être lisible que par le compte qui l'utilise.

   Créez /srv/app/app.env appartenant à app en 600, et vérifiez qu'alice ne peut pas le lire.

4. 4. Donner un accès en lecture par ACL

   Pourquoi ? Les ACL ajoutent un droit à une personne sans l'ajouter au groupe ni ouvrir à tous.

   Donnez à carol la lecture sur /srv/projet et sur les fichiers futurs (ACL par défaut). Vérifiez qu'elle lit mais n'écrit pas.

5. 5. Déléguer avec sudo

   Pourquoi ? Les développeurs doivent redémarrer nginx et lire ses journaux, pas obtenir un shell root.

   Installez nginx, puis créez /etc/sudoers.d/devs autorisant le groupe devs à redémarrer nginx et à lire ses journaux. Validez la syntaxe et vérifiez les droits d'alice.

6. 6. Politique et audit des comptes

   Pourquoi ? Des comptes inutilisés ou des binaires SUID inconnus sont des portes d'entrée.

   Imposez l'expiration du mot de passe d'alice à 90 jours, verrouillez bob, listez les comptes d'UID 0 et les binaires SUID.

Niveau de difficulté : ●●○○○ (2/5)