Пользователи, права, процессы / Ступень 8 из 13

Делегирование команд через sudo

Не запущена Запускается обычно ~20 с

Шаг 7 из 8 · лаба · 20 мин

Приостановить учётную запись

Сотрудник передаёт дела. Закрой вход в его учётную запись по паролю и по ключу, сохранив данные и рабочий процесс.

Ситуация

Сотрудник, работавший под учётной записью labpaused, передаёт дела. До конца передачи его учётную запись нужно приостановить: войти под ней нельзя ни по паролю, ни по SSH-ключу. Удалять её рано — в домашнем каталоге лежат заметки для передачи, а фоновый процесс labpaused по договорённости работает до конца передачи.

Задача

Пароль labpaused заблокирован, сам пароль не удалён и не заменён: доступ должно быть можно вернуть.
Срок действия учётной записи истёк — дата окончания в прошлом.
Оболочка входа — /usr/sbin/nologin, домашний каталог в записи прежний.
Ключ из /home/labpaused/.ssh/authorized_keys больше не действует: активного файла ключей нет, его точная копия лежит в /srv/account-review/authorized_keys.saved и доступна только root (владелец root:root, права 600).
Домашний каталог, .ssh и notes.txt на месте с прежними владельцем и правами, содержимое notes.txt не изменилось; другие учётные записи, sudo и настройки SSH не тронуты.
Фоновый процесс labpaused продолжает работать — тот же, что был запущен.

Ограничения

Учётную запись не удаляй и процессы labpaused не завершай.
Учётные записи правятся через sudo.

Нужные инструменты уже установлены. Интернета на машине нет.

Лаба · самостоятельно

Команды в этой лабе не даны: набирай их в терминале сам. Цели проверяются на машине после каждой команды.

Цели

0 из 6

Пароль labpaused заблокирован, прежний пароль сохранён — ещё не выполнена
Срок действия учётной записи истёк — дата окончания в прошлом — ещё не выполнена
Оболочка входа — /usr/sbin/nologin, домашний каталог в записи прежний — ещё не выполнена
Ключ из authorized_keys больше не действует, его копия доступна только root — ещё не выполнена
Домашний каталог, .ssh и notes.txt сохранены, другие учётные записи и настройки не тронуты — ещё не выполнена
Исходный фоновый процесс labpaused продолжает работать — ещё не выполнена

Ctrl+Enter

Запустит машину node1 · Ubuntu 24.04

Машина запускается

Подсказки

0 из 3

Сообщить о проблеме

Цели лабы

0 из 6

Пароль labpaused заблокирован, прежний пароль сохранён — ещё не выполнена
Срок действия учётной записи истёк — дата окончания в прошлом — ещё не выполнена
Оболочка входа — /usr/sbin/nologin, домашний каталог в записи прежний — ещё не выполнена
Ключ из authorized_keys больше не действует, его копия доступна только root — ещё не выполнена
Домашний каталог, .ssh и notes.txt сохранены, другие учётные записи и настройки не тронуты — ещё не выполнена
Исходный фоновый процесс labpaused продолжает работать — ещё не выполнена

node1 Ubuntu 24.04

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Цели лабы

0 из 6

Пароль labpaused заблокирован, прежний пароль сохранён — ещё не выполнена
Срок действия учётной записи истёк — дата окончания в прошлом — ещё не выполнена
Оболочка входа — /usr/sbin/nologin, домашний каталог в записи прежний — ещё не выполнена
Ключ из authorized_keys больше не действует, его копия доступна только root — ещё не выполнена
Домашний каталог, .ssh и notes.txt сохранены, другие учётные записи и настройки не тронуты — ещё не выполнена
Исходный фоновый процесс labpaused продолжает работать — ещё не выполнена

Пользователи и права · подобрано по лабе

Пользователи и группы

Шпаргалка

$_ — вставить в терминал

id alice uid/gid/группы
sudo useradd -m -s /bin/bash bob создать
sudo usermod -aG sudo bob добавить в группу (с -a, иначе перезапишет все)
sudo passwd bob задать пароль
sudo passwd -l bob заблокировать вход по паролю
sudo chage -M 90 bob максимальный срок пароля — 90 дней
getent group sudo кто в группе

Управление

bash

sudo useradd -m -s /bin/bash alice    # создать (с домашним каталогом -m и shell)
sudo passwd alice                      # задать пароль
sudo usermod -aG sudo alice            # ДОБАВИТЬ в группу (важно -a, иначе перезапишет!)
sudo usermod -aG docker,www-data alice
sudo usermod -s /usr/sbin/nologin svc  # запретить интерактивный вход (сервисный юзер)
sudo gpasswd -d alice docker           # убрать из группы
sudo userdel -r alice                  # удалить вместе с домашним каталогом
sudo groupadd devs                     # создать группу
sudo groupdel devs                     # удалить группу
adduser bob                            # интерактивная обёртка (Debian/Ubuntu)

Частая ошибка. usermod -G grp без -a заменяет все дополнительные группы пользователя — используй usermod -aG, а не -G. Шаблон нового домашнего каталога — /etc/skel.

Пароли, блокировка, su

bash

sudo passwd -l alice              # заблокировать пароль (вход по паролю запрещён)
sudo passwd -u alice              # разблокировать
sudo usermod -L / -U alice        # то же (lock/unlock)
sudo chage -l alice               # политика срока пароля
sudo chage -M 90 -W 7 alice       # макс. срок 90 дней, предупреждать за 7
sudo chage -E 2026-12-31 alice    # дата истечения учётки
sudo passwd -e alice              # потребовать смену при следующем входе

su - bob                          # стать bob (login-shell, своё окружение)
su -                              # стать root (если знаешь пароль root)
sudo -u postgres -i               # лучше: через sudo, без пароля root (см. sudo)

Системные пользователи (демоны) — обычно uid < 1000, nologin, без пароля (useradd -r).

Добавил в группу — не действует

Членство применяется при новом логине. Перелогинься (или newgrp <group> для текущей оболочки). Проверь id.

Случайно перезаписал группы (`-G` без `-a`)

Восстанови нужные: usermod -aG sudo,docker alice. Свериться можно по /etc/group (getent group).

Не могу удалить пользователя — «currently used by process»

Заверши его процессы (pkill -u alice, см. processes) или userdel -f.

Вход запрещён, хотя пароль верный

Учётка/пароль заблокированы (passwd -l/chage -E в прошлом) или shell = nologin. Смотри chage -l, getent passwd (последнее поле — shell).

Права на файлы «не той» группы

SGID-каталог наследует группу для НОВЫХ файлов; старые переведи chgrp -R (см. permissions, chmod-chown).

userdel -r удаляет домашний каталог и почтовый спул безвозвратно — без резервной копии данные не восстановить. Перед удалением проверь, не остались ли процессы или cron-задачи от этого пользователя (pkill -u, crontab -l -u): userdel без -f откажется удалять учётку с активными процессами, а -f удалит её, даже если процессы остались работать от уже несуществующего UID. После удаления освободившийся UID может быть выдан новому пользователю — файлы, оставшиеся с этим UID на диске, станут «его».

Делегирование команд через sudo

Ситуация

Задача

Ограничения

Для запуска машины нужен вход

Управление

Пароли, блокировка, su

Добавил в группу — не действует

Случайно перезаписал группы (-G без -a)

Не могу удалить пользователя — «currently used by process»

Вход запрещён, хотя пароль верный

Права на файлы «не той» группы

Случайно перезаписал группы (`-G` без `-a`)