Konfigurieren von Benutzer-Accounts und Root-Zugriff auf einem Server

Ziel

Mit der Bereitstellung eines OVHcloud Dedicated Servers oder VPS erhalten Sie Root-Zugriff auf Ihre Dienstleistung. Grundsätzlich bedeutet dies, dass Sie der Systemadministrator sind und über die höchste Berechtigungsstufe verfügen.

Auch wenn der Server nicht für Zwecke verwendet wird, die die Verwaltung von realen Benutzern erfordern, ist die Konfiguration von Benutzer-Accounts ein sicherheitsrelevantes Thema, das nicht unterschätzt werden sollte. Diese Anleitung bietet grundlegende Hinweise für den Einstieg in die folgenden Themen:

• Konfigurieren von Systembenutzer-Accounts mit unterschiedlichen Berechtigungsstufen
• Best Practices zur Verwaltung des Zugriffs auf Ihren Server und die Ausführung von Befehlen mit erhöhten Rechten

Voraussetzungen

• Sie haben einen Dedicated Server oder VPS mit einem Linux-Betriebssystem Ihrem Kunden-Account.
• Sie verfügen über die Zugangsdaten, die Sie nach der Installation per E-Mail erhalten haben.

In der praktischen Anwendung

In den folgenden Beispielen wird davon ausgegangen, dass Sie über SSH mit Ihrem Server verbunden sind.
Weitere Informationen hierzu finden Sie in unserer Anleitung "Erste Schritte mit SSH".

• Für einen Dedicated Server
• Für einen Dedicated Server der Reihe Eco
• Für einen VPS

Inhaltsübersicht

• Verwaltung von Benutzer-Accounts
  • Erstellung eines unprivilegierten Benutzer-Accounts
  • Erstellung eines Benutzer-Accounts mit Root-Berechtigung ("root privileges")
  • Ausführen von Befehlen als Administrator ("sudo")
  • Benutzer-Account deaktivieren
  • Benutzer-Account aktivieren
  • Benutzer-Account löschen
  • Benutzer-Account wechseln
  • Zum Account "root" wechseln ("root shell")
• Aktivieren des Login mit "root"
  • Account "root" aktivieren
  • Datei "sshd_config" bearbeiten
  • SSH-Dienst neu starten

Verwaltung von Benutzer-Accounts

Beachten Sie, dass Server-Sicherheitsrichtlinien für verschiedene Einsatzzwecke und Benutzerumgebungen angepasst werden können. Die unten beschriebenen Schritte enthalten lediglich grundlegende Erläuterungen zur Verwaltung von Benutzer-Accounts mit Schwerpunkt auf Komfort und Sicherheit erheben keinen Anspruch auf universelle Gültigkeit.

Nach einer Neuinstallation Ihres Servers (mit einem OVHcloud Template) starten Sie unter diesen Bedingungen:

• Ein Benutzer-Account mit erhöhten Berechtigungen ist erstellt und nach dem Betriebssystem benannt, z.B. "ubuntu", "rocky" etc.
• Sie haben das Initial-Passwort für diesen Account in der Installationsmail erhalten.
• Sie können einen SSH-Client verwenden, um sich mit diesen Anmeldedaten beim Server einzuloggen.

Die Eingabeaufforderung nach der Anmeldung variiert je nach Diensttyp und installierter Distribution, zum Beispiel:

ubuntu@ns9356771:~$

In den folgenden Beispielbefehlszeilen wird weiterhin "ubuntu" verwendet, um auf den vorkonfigurierten user account zu verweisen.

Sie sehen in der Ausgabe des folgenden Befehls, dass dieser Account bereits zur sudo group hinzugefügt wurde:

id

27(sudo)

Sie können auch groups eingeben, um nur die Gruppen anzuzeigen, in denen der aktuelle Benutzer-Account Mitglied ist.

Das bedeutet, dass der Benutzer, mit dem Sie gerade eingeloggt sind, alle Befehle ausführen kann, indem der Befehl sudo vorangestellt wird (root privileges). Ausführlichere Informationen finden Sie unten im zugehörigen Abschnitt der Anleitung.

Erstellung eines unprivilegierten Benutzer-Accounts

Auch wenn Sie keinen anderen Personen Zugriff auf Ihren Server gewähren müssen, kann die Erstellung eines Benutzer-Accounts ohne besondere Berechtigungen (auch bezeichnet als normal user oder regular user) aus Sicherheitsgründen sinnvoll sein. So besteht beispielsweise keine Gefahr, dass das System versehentlich beschädigt wird, indem Server-Konfigurationsdateien gelöscht oder geändert werden, wenn Befehle oder Prozesse von einem Benutzer-Account ohne erhöhte Berechtigungen ausgeführt werden.

Ein weiteres Beispiel für bewährte Verfahren ist die Erstellung eines dedizierten Benutzer-Accounts für eine auf Ihrem Server gehostete Anwendung. Selbst wenn der Benutzer-Account durch diese Anwendung kompromittiert wird, verhindert das Fehlen erhöhter Berechtigungen größeren Schaden am System selbst.

Erstellen eines Benutzer-Accounts (ersetzen Sie username mit einem Namen für den Benutzer-Account, z.B. den Namen einer Anwendung):

sudo adduser username

Sie müssen ein Kennwort für den neuen Account eingeben. Sie werden dann aufgefordert, die Details des neuen Benutzers einzugeben (optional).

New password: 
Retype new password:
passwd: password updated successfully

Hinweis: Bei einer GNU/Linux-Distribution zeigt eine Passworteingabeaufforderung keine Tastatureingaben an.

• Relevante man Seiten: adduser, useradd

Erstellung eines Benutzer-Accounts mit Root-Berechtigung ("root privileges")

In diesem Abschnitt wird ein neuer Benutzer-Account für einen administrator erstellt, und diesem erhöhte Berechtigungen auf dem Server gewährt (root privileges).

Neuen Benutzer-Account erstellen (dabei username mit dem Namen des Benutzer-Accounts ersetzen):

sudo adduser username

Neu erstellten Benutzer-Account zur sudo group hinzufügen:

sudo usermod -aG sudo username

Sie können den Gruppenstatus eines Benutzers mit group überprüfen:

groups username

Beispiel:

groups ubuntu

ubuntu sudo users

Der neu erstellte Benutzer-Account ist nun ein sudo user und kann alle Befehle ausführen.

Diese Einstellung ist festgelegt über die Standardkonfiguration der sudo group:

# Allow members of group sudo to execute any command
%sudo   ALL=(ALL:ALL) ALL

Die entsprechenden Konfigurationen finden Sie jeweils in /etc/sudoers und im Verzeichnis /etc/sudoers.d.

Ausführen von Befehlen als Administrator ("sudo")

Aktionen, die erhöhte Berechtigungen erfordern, werden abgelehnt, wenn sie ohne den Befehl sudo eingegeben werden.

Um beispielsweise ein Passwort für einen beliebigen Benutzer-Account zu ändern, geben Sie sudo passwd gefolgt vom username ein:

sudo passwd ubuntu

New password: 
Retype new password:
passwd: password updated successfully

Das System wird Sie regelmäßig nach dem Passwort des sudo user fragen, mit dem Sie eingeloggt sind, wenn sudo ausgeführt wird.

• Relevante man Seiten: sudo_root, sudo, sudoers

Benutzer-Account deaktivieren

Um einen user account zu deaktivieren, geben Sie Folgendes ein:

sudo passwd -dl username

Dadurch wird der Benutzer-Account gesperrt (d.h. verhindert, dass er sich mit einem Passwort einloggt) und als "passwordless" konfiguriert. Der Account is damit effektiv deaktiviert.

Benutzer-Account aktivieren

Um einen passwortlosen gesperrten user account wieder zu aktivieren, verwenden Sie folgende Befehle (ersetzen Sie initialpassword durch ein temporäres Passwort):

sudo usermod username -p initialpassword

sudo passwd -u username

Ändern Sie aus Sicherheitsgründen das Kennwort für diesen Benutzer erneut:

sudo passwd username

• Relevante man Seiten: passwd, usermod

Benutzer-Account löschen

Eine einfache Methode zum Löschen eines Accounts und dessen Dateien ist folgender Befehl:

sudo userdel -r -f username

• Relevante man Seiten: userdel, deluser

Benutzer-Account wechseln

Als sudo user können Sie zu jedem anderen Benutzer-Account wechseln (ohne dessen Passwort zu kennen):

sudo su username

Ihre Eingabeaufforderung ändert sich entsprechend:

ubuntu@ns9356771:~$ sudo su username
username@ns9356771:/home/ubuntu$

Um zu Ihrem vorherigen Benutzer-Account zurückzukehren, wechseln Sie erneut oder verwenden Sie exit.

Zum Account "root" wechseln ("root shell")

Nach einer Neuinstallation Ihres Servers (mit einem OVHcloud Template) kann der root account (Benutzer-Account mit dem Namen root) verwendet werden, er hat jedoch kein Passwort.

Aus Sicherheitsgründen sollte der root account nur verwendet werden, wenn dies unbedingt erforderlich ist, und er sollte nur vom System selbst aus zugänglich sein.

Sie können mit folgendem Befehl zum root account wechseln:

sudo -s

Ihre Eingabeaufforderung ändert sich entsprechend:

ubuntu@ns9356771:~$ sudo -s
root@ns9356771:/home/ubuntu#

Das Zeichen # am Ende der Eingabeaufforderung zeigt eine root shell an, im Gegensatz zu einer Eingabeaufforderung, die mit $ endet.

Verwenden Sie den folgenden Befehl, um zum vorherigen Benutzer-Account zurückzukehren:

exit

Befehle als der root user auszuführen ist normalerweise nicht notwendig und kann sogar kontraproduktiv sein.

Ein häufig auftretendes Missverständnis ist die Annahme, dass der konkrete root account verwendet werden muss, um Befehle auszuführen, die erhöhte Berechtigungen (root privileges) auf einem System erfordern.

Wie standardmäßig über die Richtlinie in /etc/sudoers konfiguriert, ist die Berechtigungsstufe von root allerdings mit der der sudo group identisch:

# Allow members of group sudo to execute any command
%sudo   ALL=(ALL:ALL) ALL

# User privilege specification
root    ALL=(ALL:ALL) ALL

Aktivieren des Login mit "root"

Schritt 1: Account "root" aktivieren

Geben Sie den folgenden Befehl ein, und dann ein Passwort an der Eingabeaufforderung:

sudo passwd root

Sie können die Aktion rückgängig machen, indem Sie diesen Befehl eingeben:

sudo passwd -d root

Schritt 2: Datei "sshd_config" bearbeiten

Verwenden Sie einen Texteditor wie vim oder nano, um diese Konfigurationsdatei zu bearbeiten:

sudo nano /etc/ssh/sshd_config

Sie können folgende Zeile darin finden:

#PermitRootLogin prohibit-password

Das vorgestellte Zeichen # markiert die gesamte Zeile als Kommentarzeichenfolge und sie wird somit von Anwendungen, die die Datei lesen, ignoriert.

Ohne weitere Anweisungen bezüglich dieser Einstellung ist das Anmelden am Server mit dem Benutzer-Account root deshalb deaktiviert.

Fügen Sie folgende Zeile hinzu:

PermitRootLogin yes

Das erlaubt Server-Logins mit root und dem dazugehörigen Passwort.

Speichern Sie die Datei und schließen Sie den Editor. Um diese Zugriffsmethode zu widerrufen, wiederholen Sie die Schritte und löschen Sie die Zeile.

Schritt 3: SSH-Dienst neu starten

Starten Sie den SSH-Dienst mit einem der folgenden Befehle neu:

sudo systemctl restart ssh

sudo systemctl restart sshd

Dies sollte ausreichen, um die Änderungen anzuwenden. Andernfalls starten Sie den Server über die Befehlszeile neu (sudo reboot).

Weiterführende Informationen

Dedicated Server absichern

VPS absichern

Für den Austausch mit unserer Community gehen Sie auf https://community.ovh.com/en/.