Existe-t-il un moyen de rendre un syadmin Linux expérimenté productif sans lui donner un accès complet à la racine?
Cette question relève du point de vue de la protection de la propriété intellectuelle (PI), qui dans mon cas est entièrement constitué de fichiers de code et / ou de configuration (c’est-à-dire de petits fichiers numériques faciles à copier). Notre sauce secrète nous a valu plus de succès que ne le suggère notre petite taille. De même, nous sommes une fois mordus, deux fois timides par quelques anciens employés peu scrupuleux (pas des administrateurs système) qui ont tenté de voler de la propriété intellectuelle. La position de la direction est fondamentalement la suivante: "Nous faisons confiance aux gens, mais pour des raisons personnelles, nous ne pouvons pas nous permettre de donner à une personne plus d'accès que nécessaire pour faire son travail."
Du côté des développeurs , il est relativement facile de partitionner les flux de travail et les niveaux d'accès de manière à ce que les utilisateurs puissent être productifs mais ne voient que ce dont ils ont besoin. Seules les personnes les plus qualifiées (propriétaires d’entreprise) ont la possibilité de combiner tous les ingrédients et de créer la sauce spéciale.
Mais je n'ai pas été en mesure de trouver un bon moyen de maintenir ce secret IP du côté de l'administrateur Linux. Nous faisons un usage intensif de GPG pour le code et les fichiers texte sensibles ... mais qu'est-ce qui empêche un administrateur de se soumettre (par exemple) à un utilisateur et de sauter dans sa session tmux ou GNU Screen et de voir ce qu'il fait?
(Nous avons également des accès Internet désactivés partout qui pourraient éventuellement entrer en contact avec des informations sensibles. Mais rien n’est parfait et il pourrait y avoir des trous pour des administrateurs système intelligents ou des erreurs du côté de l’administrateur réseau. Ou même du bon vieil USB. Bien sûr, de nombreuses autres mesures sont en place, mais elles dépassent le cadre de cette question.)
Le mieux que je puisse trouver consiste à utiliser des comptes personnalisés avec sudo , similaires à ceux décrits dans Plusieurs administrateurs système Linux travaillant en tant que root . Plus précisément: personne, à l'exception des propriétaires de l'entreprise, n'aurait un accès root direct. Les autres administrateurs auraient un compte personnalisé et la possibilité de se connecter rapidement à root. En outre, une journalisation à distance serait instituée et les journaux iraient à un serveur auquel seuls les propriétaires de la société peuvent accéder. Voir la journalisation désactivée déclencherait une sorte d’alerte.
Un administrateur système intelligent pourrait probablement encore trouver quelques failles dans ce schéma. Et cela mis à part, c'est toujours réactif plutôt que proactif . Le problème avec notre propriété intellectuelle est tel que les concurrents pourraient l'utiliser très rapidement et causer beaucoup de dégâts en très peu de temps.
Il serait donc préférable de mettre en place un mécanisme qui limite ce que l’administrateur peut faire. Mais je reconnais qu'il s'agit d'un équilibre délicat (notamment à la lumière du dépannage et de la résolution des problèmes de production qui doivent être résolus maintenant ).
Je ne peux pas m'empêcher de me demander comment d'autres organisations disposant de données très sensibles gèrent ce problème? Par exemple, les administrateurs système militaires: comment gèrent-ils les serveurs et les données sans pouvoir voir les informations confidentielles?
Edit: Lors de la publication initiale, je voulais aborder de manière préventive les commentaires sur les "pratiques d’embauche" qui commencent à faire surface. Premièrement, ceci est supposé être une question technique et les pratiques de recrutement de l’OMI sont davantage orientées vers les questions sociales . Mais, deux, je dirai ceci: je crois que nous faisons tout ce qui est raisonnable pour embaucher du personnel: entretien avec plusieursles gens de l'entreprise; vérification des antécédents et des références; tous les employés signent de nombreux documents légaux, y compris un document indiquant qu'ils ont lu et compris notre manuel, qui détaille en détail les problèmes de propriété intellectuelle. Maintenant, c'est hors du champ de cette question / site, mais si quelqu'un peut proposer des pratiques d'embauche "parfaites" qui filtrent 100% des mauvais acteurs, je suis tout ouïe. Les faits sont les suivants: (1) je ne crois pas qu'il existe un processus d'embauche aussi parfait; (2) les gens changent - l'ange d'aujourd'hui pourrait être le diable de demain; (3) La tentative de vol de code semble être quelque peu courante dans ce secteur.