Configuração das contas utilizadores e do acesso root num servidor

Objetivo

Um servidor dedicado ou um VPS OVHcloud fazem-lhe beneficiar de um "acesso root" ao seu serviço. Simplificando, você é o administrador do sistema com o nível de permissão mais alto.

Mesmo que o servidor não seja utilizado para fins que requeiram a administração de utilizadores reais, a gestão das contas utilizadores é um assumpto ligado à segurança que não deve ser subestimado. Este guia fornece instruções básicas para iniciar os seguintes tópicos:

• Como configurar contas de utilizadores do sistema com diferentes níveis de autorização
• As boas práticas para gerir o acesso ao seu servidor e executar comandos com permissões elevadas

Requisitos

• Um servidor dedicado ou um VPS com um sistema operativo Linux na sua conta OVHcloud
• Ter acesso a credenciais de início de sessão que recebeu por correio eletrónico após a instalação.

Instruções

Os exemplos seguintes assumem que está ligado ao seu servidor via SSH.
Para obter instruções mais detalhadas sobre este assumpto, consulte o guia "Primeiros passos com SSH".

Não se esqueça de consultar também os nossos guias de primeiros passos:

• Para um servidor dedicado
• Para um servidor dedicado da gama Eco
• Para um VPS

Índice

• Gestão de Contas de Utilizadores
  • Criação de uma conta de utilizador não privilegiada
  • Criação de uma conta de utilizador com privilégios root
  • Execução de comandos como administrador ("sudo")
  • Desativação da conta de utilizador
  • Ativação da conta de utilizador
  • Eliminação de uma conta de utilizador
  • Mudança de Conta de Utilizador
  • Mudar para a conta "root" ("root shell")
• Ativação da ligação do utilizador "root"
  • Ativar conta "root"
  • Editar ficheiro "sshd_config"
  • Restarting the SSH service

Gestão das contas dos utilizadores

Tenha em conta que as políticas de segurança dos servidores podem ser adaptadas a diferentes casos de utilização e ambientes de utilizador. As etapas descritas abaixo oferecem explicações básicas sobre a gestão das contas de utilizadores, com ênfase na conveniência e segurança, não têm valor de validade universal.

Após uma nova instalação do seu servidor (com um template OVHcloud), comece nestas condições:

• É criada uma conta de utilizador com autorizações elevadas, cujo nome tem por base o sistema operativo, por exemplo "ubuntu", "rocky", etc.
• Recebeu a palavra-passe inicial desta conta através de uma mensagem de correio eletrónico de instalação.
• Pode utilizar um cliente SSH para se ligar ao servidor com estas informações de identificação.

A linha de comandos após a conexão varia em função do seu tipo de serviço e da distribuição instalada. Por exemplo:

ubuntu@ns9356771:~$

Tenha em conta que os exemplos de linha de comandos seguintes continuarão a utilizar "ubuntu" para fazer referência ao user account pré-configurado.

Pode verificar que esta conta já foi adicionada ao sudo group na saída desta encomenda:

id

27(sudo)

Você também pode digitar "groups" para ver apenas os grupos que têm a conta atual como membro.

Isto significa que o utilizador com o qual está atualmente ligado pode executar todos os comandos fazendo-os preceder o comando sudo (root privileges). Pode encontrar mais informações na subparte de guia correspondente, abaixo.

Criação de uma conta de utilizador não privilegiada

Mesmo que não precise de conceder acesso ao servidor a outras pessoas, a criação de uma conta de utilizador sem autorizações especiais (também chamada normal user ou regular user) pode ser útil para fins de segurança. Por exemplo, não há risco de danos acidentais ao sistema, eliminando ou alterando os arquivos de configuração do servidor ao executar comandos ou processos de uma conta de usuário sem permissões elevadas.

Outro exemplo de boa prática consiste em criar uma conta de utilizador dedicada a uma aplicação alojada no seu servidor. Mesmo que a conta de utilizador seja comprometida por esta aplicação, a ausência de permissões elevadas evitará danos maiores.

Criar uma nova conta de utilizador (substitua username pelo nome real da conta de utilizador, por exemplo, o nome de uma aplicação):

sudo adduser username

Tem de fornecer uma palavra-passe para a nova conta. De seguida, ser-lhe-á pedido que indique os detalhes do novo utilizador, o que não é obrigatório.

New password: 
Retype new password:
passwd: password updated successfully

Nota: Numa distribuição GNU/Linux, uma linha de comandos de palavra-passe não apresenta as suas entradas de teclado.

• Páginas man pertinentes: adduser, useradd

Criação de uma conta de utilizador com privilégios root

Nesta secção, é criada uma nova conta de utilizador para um administrator e são concedidas autorizações elevadas no servidor (root privileges).

Criar uma nova conta de utilizador (substitua username pelo nome real da conta de utilizador):

sudo adduser username

Adicionar a nova conta de utilizador ao sudo group:

sudo usermod -aG sudo username

Pode verificar a associação ao group com o seguinte comando:

groups username

Exemplo:

groups ubuntu

ubuntu sudo users

A nova conta de utilizador é agora um sudo user e pode executar todos os comandos.

Esta configuração está configurada de forma predefinida para o sudo group:

# Allow members of group sudo to execute any command
%sudo   ALL=(ALL:ALL) ALL

Estas configurações podem ser encontradas, respetivamente, em /etc/sudoers e no diretório /etc/sudoers.d.

Execução de comandos como administrador ("sudo")

Qualquer ação que exija autorizações elevadas será rejeitada, a menos que o comando sudo seja utilizado.

Por exemplo, para alterar uma palavra-passe para qualquer conta de utilizador, escreva sudo passwd seguido pelo username:

sudo passwd ubuntu

New password: 
Retype new password:
passwd: password updated successfully

O sistema irá pedir-lhe frequentemente a palavra-passe de sudo user ao qual está ligado aquando da execução de sudo.

• Páginas man pertinentes: sudo_root, sudo, sudoers

Desativação da conta de utilizador

Para desativar um user account, introduza:

sudo passwd -dl username

Esta alteração irá bloquear a conta (impedindo-a de aceder com uma palavra-passe) e defini-la como "passwordless", o que irá desativar a conta.

Ativação da conta de utilizador

Para reativar um user account bloqueado sem palavra-passe, utilize os seguintes comandos (substitua initialpassword por uma palavra-passe temporária):

sudo usermod username -p initialpassword

sudo passwd -u username

Por razões de segurança, altere novamente a palavra-passe inicial deste utilizador:

sudo passwd username

• Páginas man pertinentes: passwd, usermod

Eliminação de uma conta de utilizador

Um método simples para eliminar uma conta e os seus ficheiros é o seguinte comando:

sudo userdel -r -f username

• Páginas man pertinentes: userdel, deluser

Alteração da conta de utilizador

Como sudo user, pode migrar para qualquer outra conta de utilizador (sem saber a palavra-passe):

sudo su username

A sua linha de comandos será alterada em conformidade:

ubuntu@ns9356771:~$ sudo su username
username@ns9356771:/home/ubuntu$

Para voltar à sua conta de utilizador anterior, mude novamente ou utilize exit.

Migrar para a conta "root" ("root shell")

Após uma nova instalação do seu servidor (com um template OVHcloud), pode utilizar-se o root account (conta de utilizador denominada root), mas não tem uma palavra-passe.

Por razões de segurança, o root account só deve ser utilizado quando é necessário e só pode ser acedido a partir do próprio sistema.

Pode passar para o root account com o seguinte comando:

sudo -s

A sua linha de comandos será alterada em conformidade:

ubuntu@ns9356771:~$ sudo -s
root@ns9356771:/home/ubuntu#

O caractere # no final do prompt de comando indica um root shell, em oposição a um prompt que termina com $.

Utilize o seguinte comando para voltar à conta de utilizador anterior:

exit

A execução de comandos como root user não é geralmente necessária e pode até ser contraproducente.

Uma ideia falsamente difundida é a hipótese de que deve utilizar o verdadeiro root account para executar comandos que requerem autorizações elevadas (root privileges) num sistema.

No entanto, tal como configurado por defeito na política /etc/sudoers, o nível de autorização de root é idêntico ao do sudo group:

# Allow members of group sudo to execute any command
%sudo   ALL=(ALL:ALL) ALL

# User privilege specification
root    ALL=(ALL:ALL) ALL

Ativação da ligação do utilizador "root"

Etapa 1: ativar a conta "root"

Introduza o seguinte comando e, em seguida, forneça uma palavra-passe:

sudo passwd root

Pode anular esta ação indicando:

sudo passwd -d root

Etapa 2: editar o ficheiro "sshd_config"

Utilize um editor de texto tal como vim ou nano para editar este ficheiro de configuração:

sudo nano /etc/ssh/sshd_config

Pode encontrar a seguinte linha:

#PermitRootLogin prohibit-password

O caractere inicial # transforma toda a linha em uma sequência de "comentário" e, portanto, é ignorado por qualquer aplicativo que lê o arquivo.

Isto significa que, se não houver outras instruções, a ligação à conta de utilizador root é não ativada.

Adicione a seguinte linha:

PermitRootLogin yes

Isto permitirá que se ligue ao servidor com root e a respetiva palavra-passe.

Salve o arquivo e saia do editor. Para revogar este tipo de acesso, repita os passos e elimine a linha.

Etapa 3: reiniciar o serviço SSH

Reinicie o serviço SSH com um dos seguintes comandos:

sudo systemctl restart ssh

sudo systemctl restart sshd

Tal deverá ser suficiente para aplicar as alterações. Caso contrário, reinicie o servidor a partir da linha de comandos (sudo reboot).

Quer saber mais?

Proteger um servidor dedicado

Proteger um VPS

Junte-se à nossa comunidade de utilizadores em https://community.ovh.com/en/.