Le groupe «wheel» n'est qu'un nom pour un exemple de groupe qui pourrait avoir des droits identiques à ceux de root.
Le groupe «wheel» existe par défaut dans /etc/group et dans certaines distributions sert à installer des applications.


Pour en savoir plus sur su/sudo Voir ici

Sur certaines distributions on propose de désactiver l'utilisateur 'root' et d'utiliser un autre nom (forcément moins connu) appartenant au groupe 'wheel' pour faire toute l'administration, mais cela dépend des scripts qui testeraient l'id avec 0 pour autoriser ou non l'administration.
On peut aussi modifier le nom root dans /etc/passwd mais cela dépend de certains scripts qui testent non pas l'id mais le nom de login.

Ajouter le groupe wheel à un utilisateur ne sert que si tu donnes au groupe wheel des droits dans sudoers.
C'est une faille de sécurité potentielle étant donnée que beaucoup de personnes mal intentionnées connaissent l'existence de ce groupe (comme ils connaissent l'identité administrateur «root»).

La seule protection d'un login appartenant à un groupe wheel défini avec «%wheel^IALL=(ALL)^INOPASSWD: ALL» n'est que son mot de passe et si l'on pense à un accès ssh pour ce login, il peut ne plus y avoir de protection (autres que celles lièes à ssh).

Un ssh trop ouvert + sudoers trop ouvert ::= OUVERTURE D'UNE FAILLE DE SECURITE


Comme /etc/group et /etc/passwd sont accessibles en lecture, il est plus sécurisant de créer un groupe avec un nom n'ayant rien de près ou de loin avec «administration» et de l'utiliser comme on utilise «wheel» dans /etc/sudoers car /etc/sudoers est protégé en lecture, et il est donc plus difficile de faire une attaque sur des logins d'un groupe qu'on ne connait pas a priori.

Salut,



si tu décommentes la ligne ou il y a %wheel blalla cela veut juste dire que seul les utilisateurs faisant parti du groupe wheel pourront faire du su vers root


@+

Tout le monde (ou presque) utilise «root» comme login administrateur, et si tout le monde (ou presque) utilise «wheel» comme groupe administrateur, il y aura des tentatives d'intrusions potentielles.

Pfff ça me gonfle de voir des sudoers avec ALL=NOPASSWD ... si sudo existe c'est pour une gestion plus fine des droits, c'est pas pour que tout le monde puisse faire n'importe quoi sans taper de mot de passe en ajoutant seulement sudo devant la commande ...
Donc si on veut bien fqire les choses on crée des groupes d'utilisateurs et des groupes de commandes ensuite on distribue les droits proprement.
On fait un truc du style :
Cmnd_Alias SERVICES = /sbin/service, /sbin/chkconfig
%william ALL = SERVICES
Comme ça le user william ( ou les membre du groupe william ) peut utiliser les commandes service et chkconfig sans connaitre le mot de passe du root.
@deyo => tu me feras 50 lignes sur PAM ... tu as oublié de parlé de pam_wheel

bonjour tout le monde!je ne savais pas ou poser la question mais puisqu'il est question du fichier sudoer alors j'ai jugé bon de poser mon problème ici.
Alors voila:il ya deux jours j'ai du faire une modification dans le fichier sudoers pour octroyer à un utilisateur simple tous les droits au meme titre en ajouter ceci: nom_utilisateur ALL=(ALL) ALL! apres avoir effectué toutes les operations j'ai reedité le dit fichier en supprimant la ligne ajoutée et redemarrer la machine.tout c'est bien passé mais le probleme est que depuis cette manipulation l'utilisateur dont il est question execute des commandes sensibles normalement excutables qu'avec le root.que puis je faire pour arranger cela?

Bonjour,

Tu devrais ouvrir un nouveau sujet et laisser les anciens sujets reposer en paix. Je te conseille aussi de reformuler ton sujet plus clairement car je ne suis pas sûr d'avoir bien compris les manipulations que tu as faites.