User wechseln - Weg vom Nutzer root oder Nutzer iobroker

[Thomas Braun]

@siggi0904

In der Gruppe 'sudo' muss/darf der z. B. nicht sein. Der iobroker ist ja eigentlich in seinen Rechten beschränkt, wird allerdings durch die Mitgliedschaft in 'sudo' durchbrochen.

[Siggi0904]

@thomas-braun danke für die Info.

Wie bekomme ich den user iobroker da wieder aus der Gruppe sudo raus?

Aktuell sieht es mit dem neuen User so aus:

iobroker@iobroker:~$ groups iobroker
iobroker : iobroker tty dialout cdrom floppy sudo audio dip video plugdev netdev
iobroker@iobroker:~$ groups mario
mario : mario sudo iobroker
iobroker@iobroker:~$

[Thomas Braun]

@siggi0904

sudo deluser iobroker sudo

Und ich würde die Kiste danach mal durchstarten, die Rechte werden nur beim ersten login gezogen.

[Siggi0904]

@thomas-braun okay, startet gerade neu.

Sieht jetzt so aus:

mario@iobroker:~$ groups iobroker
iobroker : iobroker tty dialout cdrom floppy audio dip video plugdev netdev
mario@iobroker:~$ groups mario
mario : mario sudo iobroker
mario@iobroker:~$

Was mich wundert, dass bei dir noch weitere Gruppen gibt.
Bist du auf einem Raspberry? Z.B. adm, render, etc.
Sind noch weitere Gruppen nötig?

[Thomas Braun]

@siggi0904 sagte in User wechseln - Weg vom Nutzer root oder Nutzer iobroker:

Bist du auf einem Raspberry?

Ja. 'adm' wird z. B. für das Lesen von LogFiles benötigt:

echad@chet:/opt/iobroker $ ls -la /var/log/
total 5432
drwxr-xr-x   7 root root               4096 Mar 26 00:00 .
drwxr-xr-x  11 root root               4096 Feb 21 05:08 ..
-rw-r--r--   1 root root              25212 Mar 25 23:05 alternatives.log
drwxr-xr-x   2 root root               4096 Mar 25 23:04 apt
-rw-r-----   1 root adm               36214 Mar 26 18:17 auth.log
-rw-r-----   1 root adm              479627 Mar 25 23:56 auth.log.1
-rw-r-----   1 root adm               42185 Mar 18 23:17 auth.log.2.gz

[Siggi0904]

@thomas-braun brauch ich den auch?
Wie hast du den angelegt? Bzw. wie gehst du mit dem user um?

[Thomas Braun]

@siggi0904

Wie hast du den angelegt? Bzw. wie gehst du mit dem user um?

Der user wurde direkt vom Raspberrypi Imager im Rahmen der Installation angelegt. Daher bekommt der automatisch alle notwendigen Gruppenzugehörigkeiten verpasst.

Die Funktionen der Gruppen kann man hier nachlesen:

https://wiki.debian.org/SystemGroups

[Thomas Braun]

@siggi0904

Wie schaut eigentlich das bei dir aus?

cat /etc/passwd | sort

[Siggi0904]

@thomas-braun okay, die von dir gezeigten Dateien haben bei mir die gleichen Rechte.

Sieht bei mir so aus:

mario@iobroker:/opt/iobroker$ cat /etc/passwd | sort
_apt:x:104:65534::/nonexistent:/bin/false
avahi:x:107:111:Avahi mDNS daemon,,,:/var/run/avahi-daemon:/bin/false
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
Debian-exim:x:103:113::/var/spool/exim4:/usr/sbin/nologin
games:x:5:60:games:/usr/games:/usr/sbin/nologin
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin
iobroker:x:1000:1000:iobroker,,,:/home/iobroker:/bin/bash
irc:x:39:39:ircd:/run/ircd:/usr/sbin/nologin
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
mario:x:1001:1001:Mario Siegmann,,,:/home/mario:/bin/bash
messagebus:x:105:109::/var/run/dbus:/bin/false
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
root:x:0:0:root:/root:/bin/bash
sshd:x:106:65534::/run/sshd:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
systemd-coredump:x:999:999:systemd Core Dumper:/:/sbin/nologin
systemd-network:x:101:103:systemd Network Management,,,:/run/systemd/netif:/bin/false
systemd-resolve:x:102:104:systemd Resolver,,,:/run/systemd/resolve:/bin/false
systemd-timesync:x:100:102:systemd Time Synchronization,,,:/run/systemd:/bin/false
sys:x:3:3:sys:/dev:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
mario@iobroker:/opt/iobroker$

[Thomas Braun]

@siggi0904

Der user 'iobroker' sieht als Systemuser eigentlich so aus:

iobroker:x:1001:1001::/home/iobroker:/usr/sbin/nologin

Der bekommt also keine shell zum login.

[Siggi0904]

@thomas-braun ja, dies wird meiner Verwendung begrüdet sein.
Kann man das reparieren oder sollte man das so lassen?

[Thomas Braun]

@siggi0904

Kannste eintragen, dann ist ein anmelden als 'iobroker' nicht mehr möglich.
Also statt

iobroker:x:1000:1000:iobroker,,,:/home/iobroker:/bin/bash

dann

iobroker:x:1000:1000:iobroker,,,:/home/iobroker:/usr/sbin/nologin

[Siggi0904]

@thomas-braun wenn es so für den iobroker richtig ist, würde ich das machen.
Du hattest ja mal irgendwo geschrieben, dass dies aus Sicherheitsgründen so sein sollte.

Wie passe ich das an?

[Thomas Braun]

@siggi0904 sagte in User wechseln - Weg vom Nutzer root oder Nutzer iobroker:

Wie passe ich das an?

Mit einem Editor. Ich mag für so Kleinigkeiten nano ganz gerne.

sudo nano /etc/passwd

[Siggi0904]

@thomas-braun ja, ich nutze auch nano. Der ist nicht so umständlich.

Bei deinem iobroker systemuser sind aber keine Kommata enthalten.
Was hat das für eine Bedeutung?

[Thomas Braun]

@siggi0904 sagte in User wechseln - Weg vom Nutzer root oder Nutzer iobroker:

Was hat das für eine Bedeutung?

Sind bei dir Überbleibsel aus der Verwendung als Standarduser.
Das sind die Felder für 'Voller Name', Telefonummer, Raumnummer usw.
Bei dem mario hast du deinen vollen Namen angegeben.
Die Systemuser als rein digitale Wesen brauchen das nicht, mein 'iobroker' ist ja nie als Standarduser verwendet worden.

[Siggi0904]

@thomas-braun ah ja, das kann natürlich sein.

Ich denke, der Thread hier hilft vielen Usern weiter um vom root oder iobroker wegzukommen.

Dank dir.

[Thomas Braun]

@siggi0904 sagte in User wechseln - Weg vom Nutzer root oder Nutzer iobroker:

Ich denke, der Thread hier hilft vielen Usern weiter um vom root oder iobroker wegzukommen.

Kannste ja zusammenfassen und ein 'root/iobroker-Entwöhn-HowTo' draus machen.

[Siggi0904]

@thomas-braun ja, werde mal schauen ob ich das hin bekomme.
Danke.

[Thomas Braun]

@siggi0904 sagte in User wechseln - Weg vom Nutzer root oder Nutzer iobroker:

was mich aber wundert, meine Quellen für deconz sind weg.

Du meinst das Repository?
Das muss unabhängig von den Usern sein, die .list-Files gehören nämlich alle dem root:

echad@chet:/opt/iobroker $ ls -la /etc/apt/sources.list.d/
total 36
drwxr-xr-x 2 root root 4096 Mar 25 00:56 .
drwxr-xr-x 9 root root 4096 Mar 26 15:44 ..
-rw-r--r-- 1 root root  121 Mar 25 00:52 github-cli.list
-rw-r--r-- 1 root root   84 Mar 25 00:53 grafana.list
-rw-r--r-- 1 root root  117 Mar 25 00:54 influxdata.list
-rw-r--r-- 1 root root  839 Mar 12 16:27 nodesource.list
-rw-r--r-- 1 root root  398 Mar 12 16:27 ookla_speedtest-cli.list
-rw-r--r-- 1 root root  248 Mar 25 00:55 raspi.list
-rw-r--r-- 1 root root  162 Mar 12 18:53 tailscale.list