Linux为新来的员工创建账号,linux – 我应该何时创建一个新的用户帐户来在服务器上运行软件？...

我通常是“一个用户打开网络上的监听套接字的用户”的粉丝 – 一个用于Apache,一个用于邮件,一个用于DNS等.

这是(最后我听说)仍然是最佳实践,其背后的原因是简单而简单的偏执：如果有人发现漏洞并在我有机会修补之前利用它,这些服务会暴露给大坏互联网软件至少我将它们限制在一个用户帐户中,只有运行它负责的单个服务所需的权限.

一般来说,我认为这种隔离级别足以保护系统,尽管每个应用程序都是一个易受攻击的岛屿(例如,如果某人安装了易受攻击的wordpress插件,Apache可以访问的所有内容(即所有网站)都是有效的在妥协的情况下.

因此,可以使用自己的Apache配置和用户对共享主机客户端网站进行沙盒化(可以为每个站点安装完整的Web堆栈,只需要指定不同用户的单独的apache配置). ),缺点是每个站点现在运行一堆Apache进程,因此你的RAM使用量大幅增加,如果任何单个Apache实例/用户受到攻击,那些世界可读的东西仍然容易被攻击.

进一步扩展将每个Apache放入chroot(或者如果你在BSD系统上的监狱)的论点可以提高安全性,但是现在你谈论额外的磁盘空间,因为每个chroot / jail将需要所有必需的软件运行它包含的站点(并且需要为每个站点更新此软件,而不是在修补程序发布时仅在服务器上更新一个主副本),加上RAM要求,就像您有单独的用户/ apache实例一样.

除了可以让用户突破chroot的操作系统/内核错误(这成为在单独的物理服务器上运行每个站点的参数 – 然后成为将站点分成不同的vlans /子网的区段等)之外,这可以减轻一切.

与所有风险一样,您无法消除它：您只能根据妥协的潜在危害/成本,妥协的可能性以及每个缓解级别的成本将其降低到可接受的水平.对于我的钱,对于非关键的非电子商务共享托管环境,基本的“一个用户用于Apache,一个用于DNS,一个用于邮件等”.安全网就足够了.如果需要超出该级别的安全性,您的用户应该认真考虑自己的硬件.