centos 7, limites des droits sudoers

Vous devez donner à l'utilisateur des commandes spécifiques qu'il peut exécuter et être très précis. Vous pourriez limiter leur accès pour qu'ils ne puissent pas exécuter directement "sudo password" mais cela ne l'applique pas vraiment. S'ils peuvent démarrer un Shell root, ils peuvent contourner cela. Vous pouvez même exécuter vi en tant que root et exécuter des commandes avec dans celui-ci.

Dans le passé, j'ai donné beaucoup d'accès aux utilisateurs en leur faisant un programme avec un menu pour qu'ils puissent faire des actions spécifiques. Cela me permettait de vérifier toutes les entrées qu'ils donnaient.

Vous ne pouvez pas restreindre et appliquer sudo a "permet tout sauf..." période.

Si vous voulez empêcher une personne disposant de droits sudo/root locaux de modifier les mots de passe des utilisateurs, ceux-ci ne doivent pas être stockés sur ce système et vous devez généralement mettre en place une base de données d'authentification centrale, telle qu'un annuaire LDAP, Kerberos, un serveur IPA, etc.