Installation "KEINE Installation v. ioB als root User!"
-
@thomas-braun sagte in Installation "KEINE Installation v. ioB als root User!":
@ignis-draco
Debian verwendet seit Äonen keinen root mehr direkt, das geht da über sudo.Ich bin jetzt mal etwas kleinlich. Man wird bei der Debian Installation nach einem root Password gefragt. Wenn man da nichts angibt, dann wird sudo installiert. Also ist sudo nur dir zweite Option, nicht die erste.
Und man kann nicht sagen das kein "root mehr direkt" verwendet wird. Wenn du statt Debian Ubuntu geschrieben hättest, dann hätte ich dir recht gegeben (wenn ich mich richtig erinnere).@ignis-draco sagte in Installation "KEINE Installation v. ioB als root User!":
Und man kann nicht sagen das kein "root mehr direkt" verwendet wird
Na ja, der "eigentliche root" wird deaktiviert, somit auch keine Möglichkeit per root z. B ne ssh Verbindung aufzubauen.
Mit dem weglassen des root Passwortes wird der darauffolgende angelegte Benutzer durch mittels sudo mit den nötigen Rechten ausgestattet.
So steht es auch im Debian Installer -
@Thomas-Braun "Das Password für den Superuser root sollte nicht leer sein" bedeutet also das es der Standard ist ?
@crunchip also root wird deaktiviert wie denn?
Also die Login shell ist schon mal normal:
und auch in der Shadow Datei ist root noch aktive ( nur kein PW ist gesetzt)
und usermode -L macht auch nichts anderes als das es das Password mittel eines ! ausschaltet.
Und zu der Sache mit ssh. Ein Blick in die sshd_config Manpage sagt.
PermitRootLogin Specifies whether root can log in using ssh(1). The argument must be yes, prohibit-password, forced-commands-only, or no. The default is prohibit-password.Also du kannst ja mal testen. Erzeuge eine ssh-key packe den in die .ssh/authorized_keys Datei deines deaktivierten root benutzt und verbinde dich mit ssh (natürlich mit key) und staune.
P.S. : sorry für meinen Sarkastischen Unterton.
Proxmox [DMAF5] = LXC [Debian 12]
ioBroker – apt-cacher – Semaphore – NGINX Proxy Manager – gitolite – LMS – tandoor – DokuWiki - paperless-ngx - unifi - mumble - wireguard - heimdall - planka - rustDesk - adguard -
@Thomas-Braun "Das Password für den Superuser root sollte nicht leer sein" bedeutet also das es der Standard ist ?
@crunchip also root wird deaktiviert wie denn?
Also die Login shell ist schon mal normal:
und auch in der Shadow Datei ist root noch aktive ( nur kein PW ist gesetzt)
und usermode -L macht auch nichts anderes als das es das Password mittel eines ! ausschaltet.
Und zu der Sache mit ssh. Ein Blick in die sshd_config Manpage sagt.
PermitRootLogin Specifies whether root can log in using ssh(1). The argument must be yes, prohibit-password, forced-commands-only, or no. The default is prohibit-password.Also du kannst ja mal testen. Erzeuge eine ssh-key packe den in die .ssh/authorized_keys Datei deines deaktivierten root benutzt und verbinde dich mit ssh (natürlich mit key) und staune.
P.S. : sorry für meinen Sarkastischen Unterton.
@ignis-draco sagte in Installation "KEINE Installation v. ioB als root User!":
"Das Password für den Superuser root sollte nicht leer sein" bedeutet also das es der Standard ist ?
Das ist ja das irreführende.
Der Satz bedeutet nur, dass man den root nicht ohne Passwort betreiben könnte und müsste heissen
Das Password für den Superuser root sollte nicht leer sein, wenn root für irgendeinen ganz besonderen Zweck verwendet weden muss/soll
Und ja, Standard ist leer, damit der erste User via sudo due Rootrechte bekommt.
Der Rest passt ja.
-
Proxmox [DMAF5] = LXC [Debian 12]
ioBroker – apt-cacher – Semaphore – NGINX Proxy Manager – gitolite – LMS – tandoor – DokuWiki - paperless-ngx - unifi - mumble - wireguard - heimdall - planka - rustDesk - adguard -
@Thomas-Braun "Das Password für den Superuser root sollte nicht leer sein" bedeutet also das es der Standard ist ?
@crunchip also root wird deaktiviert wie denn?
Also die Login shell ist schon mal normal:
und auch in der Shadow Datei ist root noch aktive ( nur kein PW ist gesetzt)
und usermode -L macht auch nichts anderes als das es das Password mittel eines ! ausschaltet.
Und zu der Sache mit ssh. Ein Blick in die sshd_config Manpage sagt.
PermitRootLogin Specifies whether root can log in using ssh(1). The argument must be yes, prohibit-password, forced-commands-only, or no. The default is prohibit-password.Also du kannst ja mal testen. Erzeuge eine ssh-key packe den in die .ssh/authorized_keys Datei deines deaktivierten root benutzt und verbinde dich mit ssh (natürlich mit key) und staune.
P.S. : sorry für meinen Sarkastischen Unterton.
@ignis-draco sagte in Installation "KEINE Installation v. ioB als root User!":
"Das Password für den Superuser root sollte nicht leer sein" bedeutet also das es der Standard ist ?
Ich sage ja, der Text im Installer ist unglücklich/missverständlich.
Wird wohl auf die üblichen 'Grabenkämpfe' bei Debian zurückzuführen sein.
Jedenfalls ist der volle root-account ein Ding aus der Vergangenheit und wird nur aus historischen Gründen da erwähnt, aktuell soll es ohne aktiviertem root installiert werden.
Dazu passen auch die Einstellungen in /etc/passwd und /etc/shadow.
In meiner shadow steht der account auch mit * und nicht mit ! drin.Log in per ssh ist im default für den root auch nicht möglich.
Man kann es natürlich alles umkrempeln. Sollte der unbedarfte user aber aus bekannten Gründen eben nicht tun. -
@thomas-braun sagte in Installation "KEINE Installation v. ioB als root User!":
Jedenfalls ist der volle root-account ein Ding aus der Vergangenheit und wird nur aus historischen Gründen da erwähnt, aktuell soll es ohne aktiviertem root installiert werden.
Dazu passen auch die Einstellungen in /etc/passwd und /etc/shadow.
In meiner shadow steht der account auch mit * und nicht mit ! drin.dann hast du da was geändert.
Log in per ssh ist im default für den root auch nicht möglich.
Man kann es natürlich alles umkrempeln. Sollte der unbedarfte user aber aus bekannten Gründen eben nicht tun.Ich habe das gerade auf einem ganz frischen "debian-12.1.0-amd64-netinst" ausprobiert (die Bilder kommen auch daher).
Proxmox [DMAF5] = LXC [Debian 12]
ioBroker – apt-cacher – Semaphore – NGINX Proxy Manager – gitolite – LMS – tandoor – DokuWiki - paperless-ngx - unifi - mumble - wireguard - heimdall - planka - rustDesk - adguard -
@ignis-draco selbst das ist missverständlich!
selbstverständlich wird dir per default die Möglichkeit geboten einen login für den root zu erzeugen.im weiteren steht ja, dass du dazu ein starkes Passwort erzeugen musst.
Wenn dann mit dem defaultmäßig leeren Feld weitergearbeitet wird, gibt es eben keinen root login
-
@thomas-braun sagte in Installation "KEINE Installation v. ioB als root User!":
Jedenfalls ist der volle root-account ein Ding aus der Vergangenheit und wird nur aus historischen Gründen da erwähnt, aktuell soll es ohne aktiviertem root installiert werden.
Dazu passen auch die Einstellungen in /etc/passwd und /etc/shadow.
In meiner shadow steht der account auch mit * und nicht mit ! drin.dann hast du da was geändert.
Log in per ssh ist im default für den root auch nicht möglich.
Man kann es natürlich alles umkrempeln. Sollte der unbedarfte user aber aus bekannten Gründen eben nicht tun.Ich habe das gerade auf einem ganz frischen "debian-12.1.0-amd64-netinst" ausprobiert (die Bilder kommen auch daher).
Joh...
The way to go ist aber dennoch der modernere Ansatz per sudo zu arbeiten und den root im Hintergrund schlummern zu lassen. -
Nur das, dass jetzt nicht falsch verstanden wird.
Ich bin selber Pro sudo und verwende es auch auf allen System.
Jedoch ist es faktisch so das es im Debian nicht der Default ist. Auch wenn er es seine sollte (wie bei Ubuntu).
( Werder im Installer noch im Wiki steht was anderes )Das was ihr meint ist nicht Default sondern best practice.
Was aber nicht stimmt, ist das root "Deaktiviert" ist, dass ist totaler Quatsch denn nur das Password ist nicht gesetzt mehr nicht ein sudo -i root geht und auch kommt man mit ssh-key per ssh als root auf das System.
Im gegen Satz zu z.b. User "daemon" der ist deaktiviert.Und nur als Beispiel, warum ein root pw gut ist. Wenn es beim Booten zu einem Problem kommt (z.b. Festplatte defekt)
und man in die rescushell muss, kann man sich da nur als root Anmelden. Oder wenn man z.b. /home auf einer anderen Festplatte hat. Auch dort kann es sein das man nicht in den User Account kommt und das System "nur"* über root retten kann. (* Ja es gibt immer einen anderen weg aber häufig ist der aufwendiger, weil Hardware ausgebaut werden muss)Proxmox [DMAF5] = LXC [Debian 12]
ioBroker – apt-cacher – Semaphore – NGINX Proxy Manager – gitolite – LMS – tandoor – DokuWiki - paperless-ngx - unifi - mumble - wireguard - heimdall - planka - rustDesk - adguard -
Nur das, dass jetzt nicht falsch verstanden wird.
Ich bin selber Pro sudo und verwende es auch auf allen System.
Jedoch ist es faktisch so das es im Debian nicht der Default ist. Auch wenn er es seine sollte (wie bei Ubuntu).
( Werder im Installer noch im Wiki steht was anderes )Das was ihr meint ist nicht Default sondern best practice.
Was aber nicht stimmt, ist das root "Deaktiviert" ist, dass ist totaler Quatsch denn nur das Password ist nicht gesetzt mehr nicht ein sudo -i root geht und auch kommt man mit ssh-key per ssh als root auf das System.
Im gegen Satz zu z.b. User "daemon" der ist deaktiviert.Und nur als Beispiel, warum ein root pw gut ist. Wenn es beim Booten zu einem Problem kommt (z.b. Festplatte defekt)
und man in die rescushell muss, kann man sich da nur als root Anmelden. Oder wenn man z.b. /home auf einer anderen Festplatte hat. Auch dort kann es sein das man nicht in den User Account kommt und das System "nur"* über root retten kann. (* Ja es gibt immer einen anderen weg aber häufig ist der aufwendiger, weil Hardware ausgebaut werden muss)@ignis-draco sagte in Installation "KEINE Installation v. ioB als root User!":
Was aber nicht stimmt, ist das root "Deaktiviert" ist
Hat auch niemand behauptet. Der ist natürlich im Hintergrund aktiv, irgendwo muss der Aufruf per 'sudo watweißich' ja auch an den root übergeben werden. Denn
sudo whoamiliefert?
Kurz: Allgemein üblich ist ein 'deaktiver' root, auch auf einem Debian. Der Installer lässt dir halt die Wahl (anders als bei Schnubbibuntu).
Wähle weise, wähle 'sudo'. -
@ignis-draco sagte in Installation "KEINE Installation v. ioB als root User!":
Und man kann nicht sagen das kein "root mehr direkt" verwendet wird
Na ja, der "eigentliche root" wird deaktiviert, somit auch keine Möglichkeit per root z. B ne ssh Verbindung aufzubauen.
Mit dem weglassen des root Passwortes wird der darauffolgende angelegte Benutzer durch mittels sudo mit den nötigen Rechten ausgestattet.
So steht es auch im Debian Installer@thomas-braun sagte in Installation "KEINE Installation v. ioB als root User!":
Hat auch niemand behauptet.
ähm ....
@crunchip sagte in Installation "KEINE Installation v. ioB als root User!":
Na ja, der "eigentliche root" wird deaktiviert, somit auch keine Möglichkeit per root z. B ne ssh Verbindung aufzubauen.
Proxmox [DMAF5] = LXC [Debian 12]
ioBroker – apt-cacher – Semaphore – NGINX Proxy Manager – gitolite – LMS – tandoor – DokuWiki - paperless-ngx - unifi - mumble - wireguard - heimdall - planka - rustDesk - adguard -
@thomas-braun sagte in Installation "KEINE Installation v. ioB als root User!":
Hat auch niemand behauptet.
ähm ....
@crunchip sagte in Installation "KEINE Installation v. ioB als root User!":
Na ja, der "eigentliche root" wird deaktiviert, somit auch keine Möglichkeit per root z. B ne ssh Verbindung aufzubauen.
Insofern 'deaktiviert' als das du da so ohneweiteres keine login shell mehr für bekommst.
Aus ganz ähnlichen Gründen drängt Raspberry OS ja auch dazu einen Standarduser anzulegen, der NICHT 'pi' lautet.
Auch wenn es natürlich geht. -
@thomas-braun sagte in Installation "KEINE Installation v. ioB als root User!":
Insofern 'deaktiviert' als das du da so ohneweiteres keine login shell mehr für bekommst.
Okay ich versuche jetzt echt dich zu verstehen. Aber es ist nicht leicht wenn du begriffe falsch verwendest.
Die login shell ist bei root auch/bin/bash. Es ist nicht/usr/sbin/nologinoder/bin/false
und der Grund warum Raspberry OS eine user != pi haben möchte hat damit zu tun weil die ein Standard Passwort haben/hatten.Technisch gesehen wird der Hash vom root Passwort in einem Zustand gebracht, der mit keiner Eingabe übereinstimmen kann (das "!" macht das). Wenn man jetzt z.b. Login per PAM ein richtet oder kerberos so das die
/etc/shadownicht verwende wird kann man sich auch in der tty per root Anmelden. [sieht man daran, das mit ssh-key es geht].@thomas-braun sagte in Installation "KEINE Installation v. ioB als root User!":
Wähle weise, wähle 'sudo'.
Ich wünsche dir dann das du soetwas nie sehen wirst:
Mit root Password hätte man da nämlich eine busybox um das System zu fixen.Proxmox [DMAF5] = LXC [Debian 12]
ioBroker – apt-cacher – Semaphore – NGINX Proxy Manager – gitolite – LMS – tandoor – DokuWiki - paperless-ngx - unifi - mumble - wireguard - heimdall - planka - rustDesk - adguard -
@thomas-braun sagte in Installation "KEINE Installation v. ioB als root User!":
Insofern 'deaktiviert' als das du da so ohneweiteres keine login shell mehr für bekommst.
Okay ich versuche jetzt echt dich zu verstehen. Aber es ist nicht leicht wenn du begriffe falsch verwendest.
Die login shell ist bei root auch/bin/bash. Es ist nicht/usr/sbin/nologinoder/bin/false
und der Grund warum Raspberry OS eine user != pi haben möchte hat damit zu tun weil die ein Standard Passwort haben/hatten.Technisch gesehen wird der Hash vom root Passwort in einem Zustand gebracht, der mit keiner Eingabe übereinstimmen kann (das "!" macht das). Wenn man jetzt z.b. Login per PAM ein richtet oder kerberos so das die
/etc/shadownicht verwende wird kann man sich auch in der tty per root Anmelden. [sieht man daran, das mit ssh-key es geht].@thomas-braun sagte in Installation "KEINE Installation v. ioB als root User!":
Wähle weise, wähle 'sudo'.
Ich wünsche dir dann das du soetwas nie sehen wirst:
Mit root Password hätte man da nämlich eine busybox um das System zu fixen.Wir haben hier aber nicht mit kerberos zu tun.
der Grund warum Raspberry OS eine user != pi haben möchte hat damit zu tun weil die ein Standard Passwort haben/hatten.
Der andere Grund ist, das 'pi' zu gängig war und das bei stumpfen Einlogversuchen weit oben auf der Liste der Versuche steht.
Hey! Du scheinst an dieser Unterhaltung interessiert zu sein, hast aber noch kein Konto.
Hast du es satt, bei jedem Besuch durch die gleichen Beiträge zu scrollen? Wenn du dich für ein Konto anmeldest, kommst du immer genau dorthin zurück, wo du zuvor warst, und kannst dich über neue Antworten benachrichtigen lassen (entweder per E-Mail oder Push-Benachrichtigung). Du kannst auch Lesezeichen speichern und Beiträge positiv bewerten, um anderen Community-Mitgliedern deine Wertschätzung zu zeigen.
Mit deinem Input könnte dieser Beitrag noch besser werden 💗
Registrieren Anmelden603
Online32.8k
Benutzer82.8k
Themen1.3m
Beiträge