# Файл ublinux.ini рекомендуется использовать в папке /ublinux-data/ # Если вы работаете в режиме песочницы и у вас отсутствует папка # /ublinux-data/, вы можете перенести его в папку /ublinux/ # We recommend using the ublinux.ini file in the /ublinux-data/ folder # If you are working in sandbox mode and you don't have the /ublinux-data/ # folder, you can move it to the /ublinux/ folder # UBLinux settings # UBLinux настройка ################################################################################ # How it works. # Краткое описание как работает этот файл конфигурации # [/path/filename]755 # select file for changing. if its not exists it will be created with 755 permisions # [/path/filename]a+x # выбор файла для изменений, если файла нет, он будет создан с правами по умолчанию плюс chmod a+x # [/path/filename]a+x [/bin/bash] # Необязательный параметр во второй части в квадратных скобках означает "запустить с" возможные варианты # # [/bin/bash/] запустит с башем # # [.] выполнить как часть init # # [chroot . ] сделать чрут в sysroot и выполнить там # Parameter=value # it will change string Parameter=* in file to Parameter=value. If there is no parameter the string will be added to end of file. # Параметр=значение # меняет параметр в файле на нужное значение. Если параметра нет, строка будет добавлена в конец файла. # +string # add string to end of file in case it's not already in file. # +строка # добавит строку в файл, если она ещё не прописана в нём. # |string # add string to end of file in any case. # |строка # добавит строку в файл без проверки. # -expression # remove all string with expression (see info sed). symbols .* matches all strings in file. # -выражение # удаляет строки соответствующие выражению (см info sed). Если указать .* то будут удалены все строки. ################################################################################ [/etc/ublinux/config] ## Config verison ## Версия конфигурации VERSION= ## Additional boot parameters ## Дополнительные параметры загрузки, только для управления модулями #CMDLINE="noload=/12,/92 findswap" ## Default user password is 'ublinux' ## Что-бы получить хэш "openssl passwd -6 -salt ubsalt password" ## Хэш пароля для пользователя по умолчанию (стандартно ublinux) ## Если пароль стандартный то будет подсказка + FIRSTSTART=yes > /etc/DESKTOP (Первый запуск для настройки системы) DEFAULTPASSWD='$6$E7stRhRS8fCKk7UU$Qoqw62AUaUa5uLIc2KC7WV3MUThhrR8kjXtCODmnKCzKe2zHu1/wmsiWBHZEIk/IQnk/aELQYbUK93OUtrwg60' ## Default root password is 'ublinux' ## Хеш пароля для пользователя root (стандартно ublinux) DEFAULTROOTPASSWD='$6$E7stRhRS8fCKk7UU$Qoqw62AUaUa5uLIc2KC7WV3MUThhrR8kjXtCODmnKCzKe2zHu1/wmsiWBHZEIk/IQnk/aELQYbUK93OUtrwg60' ## Default user name is 'superadmin' ## Имя пользователя по умолчанию, будет добавлен в группу whell, при условии если переменная NEEDEDUSERS пустая (стандартно superadmin) DEFAULTUSER=superadmin ## Default hash algoritm for user password ## Алгоритм хеширования паролей, возможные значения: des, md5, yescrypt, gost-yescrypt, scrypt, bf, bcrypt, bcrypt-a, sha512crypt, sha256crypt, sunmd5, md5crypt, bsdicrypt, descrypt, nt #HASHPASSWD=sha512crypt ## You can cpecify users there whithout using "user=" boot parameter ## Пользователи системы (аналог параметра users) ## NEEDEDUSERS='name_user:id:password:show_name:, ... ' password=x=$DEFAULTPASSWD NEEDEDUSERS='superadmin:1000:x:Администратор' ## Пользователи системы ## ADDUSER[user_name:uid:comment:user_group:extra_groups:optional]=password_hash|x ## user_name # Имя пользователя ## uid # UID пользователя, если необходимо автоматически рассчитывать, то оставить пустым или 'x' ## comment # Поле GECOS, с подробным описанием пользователя, можно локализованное ## user_group # Основная группа пользователя, если выбрано пусто или 'x', то 'user_group=user_name' ## extra_groups # Дополнительные группы пользователя ## optional # Дополнительные опции, например: '--shell /usr/bin/bash --create-home --no-create-home --no-user-group --non-unique' ## -s, --shell /usr/bin/bash # Регистрационная оболочка новой учётной записи ## -M, --no-create-home # Не создавать домашний каталог пользователя ## -N, --no-user-group # Не создавать группу с тем же именем что и у пользователя ## -o, --non-unique # Разрешить создание пользователей с повторяющимися (не уникальными) UID ## password_hash|x # Хеш пароля пользователя, если выбрано 'x', то 'password_hash=DEFAULTPASSWD' ## ADDUSER[superadmin:1000:Администратор]=x ## ADDUSER[user-1:x:Пользователь-1:x:vboxusers,libvirt:-s /usr/bin/bash -o]='$6$E7stRhRS8fCKk7UU$Qoqw62AUaUa5uLIc2KC7WV3MUThhrR8kjXtCODmnKCzKe2zHu1/wmsiWBHZEIk/IQnk/aELQYbUK93OUtrwg60' ## Добавить пользователя с ID 1000 в группу Администраторов 'whell' ## ADDADM=*yes|no ## * =yes # Добавить пользователя ID 1000 в группу 'wheel' ## =no # Не выполнять действие ## Groups for users ## Дополнительные группы, для всех пользователей, по умолчанию: scanner,power,audio,lp,optical,storage,video,sambashare,vboxusers,libvirt #USERGROUPS=scanner,power,audio,lp,optical,storage,video,sambashare,vboxusers,libvirt ## Autostart services ## Автоматически запускать службы (можно указывать службы xinetd) ## Для работы bluetooth SERVICESSTART+=,bluetooth ## Для работы в WINDOWS сетях с DNS NETBIOS, включить NSSWITCHWINBIND=yes и добавить SERVICESSTART+=,nmb,winbind ## Для VMWareWorkstation: vmware-networks,vmware-usbarbitrator ## SERVICESSTART+=,tor,polipo,cups-lpd,pcscd SERVICESSTART=dbus-broker,NetworkManager,sshd,systemd-swap,cups,cockpit.socket,avahi-daemon,avahi-dnsconfd,veyon,smb,nmb,winbind,bluetooth ## You can disable some of standart services start ## Отключение служб, включенных по умолчанию #SERVICESNOSTART=xinetd,pdnsd,iptables,wine ## You can disable and mask some of standart service ## Отключение и блокировка служб, включенных по умолчанию #SERVICESMASK=adb HOSTNAME=ublinux-install ## You can specify your /etc/machine-id there. If MACHINEID=RANDOM then will be ## created random number. # In other case, it will be based on internal hardware list. ## Номер машины, который попадает в /etc/machine-id. ## =hardware | =hw # Сформируется в зависимости от аппаратной начинки материнской платы и MAC ## =random | =rnd # Создастся случайный номер ## Можно привязать к носителю, указав свой номер (в формате вывода утилиты md5sum) ## к примеру, echo mynumber | md5sum #MACHINEID=91ec1cd57b484d479893f012b26f89ea #MACHINEID=hardware MACHINEID=hardware ## Включить Apparmor, по умолчанию отключен #APPARMOR=yes ## Mount local partitions ## Подключение всех разделов при старте #PARTITIONSAUTOMOUNT=yes ## Не подключать указанные разделы #PARTITIONSNOMOUNT=boot,hidden ## Пользователь - владелец для fat ntfs #PARTITIONSMOUNTUID=500 ## Автомонтирование папок, внимание на порядковый номер после имени переменной ## Пароль кодировать в base64: echo 'password' | base64 ## AUTOMOUNT_SHARE[mountpoint]='cifs:share:username:password_base64:domain:opt' ## AUTOMOUNT_SHARE[/mnt/cifs:share]='cifs://192.168.103.55/share:user:password_base64:domain:noperm,vers=1.0' ## AUTOMOUNT_SHARE[/mnt/sdb1]='direct:/dev/sdb1:wheel:775:noacl' ## AUTOMOUNT_SHARE[/mnt/sshfs/user-1@192.168.1.1]='sshfs:superadmin@192.168.1.1:/home/user-1:password_base64:' #AUTOMOUNT_SHARE[/mnt/share2]='cifs://192.168.103.55/share2:share:password_base64:domain:noperm,vers=1.0' #AUTOMOUNT_SHARE[/mnt/sda4]='direct:/dev/sda4:wheel:775:noacl' #AUTOMOUNT_SHARE[/mnt/sshfs/user-1@192.168.1.1]='sshfs:superadmin@192.168.1.1:/home/user-1:password_base64:' #AUTOMOUNT_SHARE[/mnt/nfs/user-1@192.168.1.1]='nfs:192.168.1.1:/home/user-1' ## Папка с правами 777 доступная всем локальным пользователям и при разрешении всем из сети ## по умолчанию PUBLICDIR=/home/public #PUBLICDIR= ## Mount shared media from ublinux-server automatically ## Подключаться к серверу при старте #AUTOMOUNTSERVER=yes ## Share local partitions via NFS-Server ## Разрешать общий доcтуп к разделам через NFS #PARTITIONSSHARE=yes ## Исключение для общих разделов #PARTITIONSNOSHARE=archive,private ## Режим работы клавиатуры Num Lock (yes|no). По умолчанию включено, если нет тачпада. #NUMLOCK=no ## Настройка принтера ## PRINTERADD=manual (default) #PRINTERADD=auto ## Обновлять кеш библиотек при старте. Полезно при использовании модулей от старых сборок. #RUNLDCONFIG=yes ## Обновление базы данных модулей, если используются сторонние модули ядра или видео проприетарное DEPMOD=yes ## Обновлять домашний каталог при загрузке если он уже существует #UPDATEHOME=yes ## Можно отключить использование tmpfs для /tmp или /var/tmp при работе с профилем #TMPFS=no #VARTMPFS=no ## Включение pulseaudio (yes, no) #PULSEAUDIO=yes ## Установить звуковое устройство по умолчанию для ALSA, к примеру для вывода звука через HDMI ## устройства смотрите в выводе aplay -l #ALSACARD=1 #ALSADEVICE=7 ## Автообновление системы ## UBLINUXUPDATE= ## =auto # автоматически ## =ask # спросить у пользователя (по умолчанию) ## =never # не обновлять автоматически #UBLINUXUPDATE=auto ## Профиль конфигурации PAM авторизации, authselect. Профили /usr/share/authselect/vendor ## Доступные доп. параметры: ## with-altfiles with-ecryptfs with-faillock with-files-access-provider with-files-domain with-pamaccess with-silent-lastlog with-sudo with-systemd-homed with-time without-nullok ## with-fingerprint with-pam-u2f with-pam-u2f-2fa without-nullokwithout-pam-u2f-nouserok ## with-smartcard with-smartcard-lock-on-removal with-smartcard-required ## with-mdns4 with-mdns6 with-mkhomedir with-mkhomedir-simple with-nispwquality ## Информация о профиле: authselect show ublinux-sssd ## Отключить выбор профиля PAM =disable|-|no|off ## AUTHPAM=disable ## По умолчанию, minimal конфигурация с локальной авторизацией ## AUTHPAM[minimal]=with-faillock,with-time,with-systemd-homed ## AUTHPAM[sssd]=with-faillock,with-time,with-systemd-homed,with-mkhomedir-simple ## Алгоритм сжатия модулей по умолчанию #MKSQFS_OPTS="-b 512K -comp xz -Xbcj x86" ## Алгоритм сжатия, используемый для сохранения измененний в модуль #MKSQFS_FASTALG="-b 512K -comp lz4 -Xhc" ################################################################################ ## Настройка загрузчика GRUB [/etc/ublinux/boot] ## Время отображения меню GRUB для выбора варианта загрузки ## GRUB_TIMEOUT= ## GRUB_TIMEOUT=3 ## Выбор варианта загрузки GRUB по умолчанию ## GRUB_DEFAULT= ## GRUB_DEFAULT="UBLinux Desktop Basic 2204 - Песочница в RAM с сохранением профиля пользователя HDD" ## Пользователь GRUB для входа в режим редактирования конфигурации загрузки ## GRUB_SUPERUSERS=,, GRUB_SUPERUSERS=superadmin ## Пароль пользователя GRUB для входа в режим редактирования конфигурации загрузки ## GRUB_PASSWORD[]= ## user # Имя пользователя ## password # Пароль, в формате grub.pbkdf2 или простым текстом, который автоматически сконвертирует в grub.pbkdf2 ## Пароль для пользователя superadmin: ublinux-grub GRUB_PASSWORD[superadmin]=grub.pbkdf2.sha512.10000.918F54C3C4CDE024A34FDA951FFBAD17D2B8F031A696F22038267FDAC6CF5FEA4FE800880591DBD533C95606A275F170B4F460243A083E89E231B2DAC13467D5.9B3392962D14DE34D6BCD4C559A4A4222ED9C0BF14D15A7E3772DA430513E34F2C96FE324D3FBCC4576C8DDF7B82B7AC8830195CC8886A39B525F070EC236421 ## Режим вывода лога загрузки ## GRUB_BOOT_SILENT= ## splash # Графика plymouth, полный лог ## splash quiet ub.silent # Графика plymouth, нет лога ## quiet ub.silent # Без plymouth, минимальный лог ## plymouth.enable=0 # Без plymouth, полный лог GRUB_BOOT_SILENT="splash" ## Устройство ввода для терминала ## GRUB_TERMINAL_INPUT="console serial" ## Устройство вывода для терминала ## GRUB_TERMINAL_OUTPUT= ## Мелодия при включении ПК ## GRUB_PLAY=| ## GRUB_PLAY="480 900 2 1000 2 800 2 400 2 600 3" ## Аргументы командной строки для загрузки ядра Linux ## GRUB_CMDLINE_LINUX="modprobe.blacklist=nouveau" ## Возможные параметры GRUB_CMDLINE_LINUX: ## modprobe.blacklist=nouveau # Отключить автоматическую загрузку свободного драйвера nouveau для видеоадаптера NVIDIA ## nomodeset # Отключить выбор и загрузку ядром драйверов видео ## i915.enable_dc=0 # Отключить управление питанием графического процессора ## ahci.mobile_lpm_policy=1 # Максимальная производительность, управление питанием ## intel_idle.max_cstate=1 # Ограничивает состояния сна процессора, это предотвращает переход процессора в состояния глубокого сна ## intel_idle.max_cstate=4 # Устраняет мерцание дисплея ноутбука на процессорах Ultra Voltage ## snd-intel-dspcfg.dsp_driver=1 # Принудительный выбор драйвера звукового устройства от Intel ## snd-intel-dspcfg.dsp_driver=3 ## security=apparmor ## usbcore.autosuspend=-1 ## Отключить авто засыпание USB устройств в режиме suspend GRUB_CMDLINE_LINUX="modprobe.blacklist=nouveau" ################################################################################ ## Настройка сохранений [/etc/ublinux/save] ## Сохранять кэши при перезагрузке/выключении, ускоряет загрузку системы ## SAVE_ALL_CACHE=rootcopy ## Работает только в режимах песочницы. Не работает в режиме полного сохранения. ## При перезагрузке/выключении, сохранить/перезаписать указанные каталоги/файлы и , кроме в /ublinux-data/rootcopy/ ## Примечание: При загрузке весь каталог /ublinux-data/rootcopy копируется в корень. В режиме песочницы потребляет свободное ОЗУ. В режиме сохранения заменяет файлы в корне. ## SAVE_ROOTCOPY_INCLUDE= # Каталоги и файлы которые будут сохранены в rootcopy ## SAVE_ROOTCOPY_CHANGES= # Каталоги и файлы изменений которые будут сохранены в rootcopy ## SAVE_ROOTCOPY_EXCLUDE= # Каталоги и файлы которые будут исключены из сохраенния в rootcopy #SAVE_ROOTCOPY_CHANGES="/etc" #SAVE_ROOTCOPY_INCLUDE="/etc/pacman.d/gnupg,/etc/NetworkManager/system-connections" #SAVE_ROOTCOPY_EXCLUDE="/etc/ublinux" ## TODO ## Работает только в режимах песочницы. Не работает в режиме полного сохранения. ## При перезагрузке/выключении, сохранять указанные каталоги/файлы и , кроме в модуль /ublinux-data/modules/zz-save-module.ubm ## Примечание: При загрузке подключается последним модулем. Не потребляет свободное ОЗУ. Требует больше времени при перезагрузки/выключении, т.к. создаёт модуль. #SAVE_MODULE_CHANGES="/etc" #SAVE_MODULE_INCLUDE="/etc/pacman.d/gnupg,/etc/NetworkManager/system-connections" #SAVE_MODULE_EXCLUDE="/etc/ublinux" ################################################################################ ## Настройка сети [/etc/ublinux/network] ## Domain configuration ## Подключение к AD серверу #DOMAIN=ublinux.ru ## Сервер контроллера домена/kerberos ## Отключить автопоиск сервера контроллера домена/kerberos и задать статический ## DOMAIN[server]=pdc.ublinux.ru ## Клиент для подключения к домену [ *realmd_sssd | realmd_winbind | samba | none ] ## DOMAIN[client]=realmd_sssd ## Пользователь имеющий права ввода в домен. ## Применяется, если необходимо автоматизировать ввод в домен с большого числа ПК, или при работе в режиме полной песочницы, где невозможно сохранить ## Пароль кодировать в base64: echo 'password' | base64 ## DOMAIN[admanger]=USER_ADMIN:password_base64' ## DOMAIN[admanger]=Администратор:0J3QvtCy0YvQuV/QlNC10L3RjCEK ## Группа на контроллере домена, пользователи которой будут иметь права для sudo ## DOMAIN[group:sudoers]=sudoers@ublinux.ru ## Группа на контроллере домена, пользователи которой будут иметь права для доступа по ssh ## DOMAIN[group:ssh]=sudoers@ublinux.ru ## Ограничить пользователей, которым разрешён вход в домен ## REALM_PERMIT[user]=user-1@ublinux.ru,user-2@ublinux.ru,ublinux.ru\\user-3 ## REALM_PERMIT[group]=ublinux_group@ublinux.ru ## REALM_PERMIT[user]=user-1@ublinux.ru ## При методе подключения DOMAIN_CLIENT=realmd_sssd. Задать параметры в /etc/sssd/sssd.conf для домена ## REALM_SSSD[параметр:имя_секции]=значение ## Если "имя_секции" не указан, то по умолчанию используется секция текущего домена = domain/${DOMAIN} ## REALM_SSSD[services:sssd]=nss,pam,pac,ssh ## REALM_SSSD[default_shell:nss]=/bib/bash ## REALM_SSSD[ad_hostname:domain/mydomain.ru]=hostname.mydomain.ru ## Короткие имена пользователей домена "user" | полные "user@domain.ru" [False|*True] ## REALM_SSSD[use_fully_qualified_names]=False ## Строить карту всех пользователей домена на локальном ПК [False|*True] ## REALM_SSSD[ldap_id_mapping]=False ## Перечисление всех пользователей и групп, нагружает сервер домена при большом числе пользователей [*False|True] ## REALM_SSSD[enumerate]=True ## Задать статическое имя PC в домене pc_name.domain.ru ## REALM_SSSD[ad_hostname]=hostname.mydomain.ru ## Обновлять Kerberos .keytab одновременно у sssd и samba [*False|True] ## REALM_SSSD[ad_update_samba_machine_account_password]=True ## Формат файла Kerberos .keytab пользователя /tmp/krb5cc_123456879 ## REALM_SSSD[krb5_ccname_template]=FILE:%d/krb5cc_%U ## Рабочая группа samba #SAMBADOMAIN=SMBGROUP ## Network configuration ## Настройка сетевого интерфейса ## NETWORK[all|any|name_connection|name_device|name_uuid|type_connection]="optional_1 optional_2 optional_n" ## all|any - All device and connection ## name_device: enp3s0, ens192, wlan0 ## or name_connection: Проводное соединение 1, WIFI_WORK ## or name_uui: 6c90739a-5b5f-3b4a-9b42-11aa89c419bc ## or type_connection: 802-3-ethernet, 802-11-wireless ## optional: ## ipv4.ignore-auto-dns yes ## ipv4.method manual ## ipv4.addr 192.168.1.2/24,10.10.1.5/8 ## ipv4.gateway 192.168.1.1 ## ipv4.dns 192.168.1.1,8.8.8.8 ## wifi.cloned-mac-address random ## ethernet.cloned-mac-address 00:22:68:1c:59:b1 ## ethernet.cloned-mac-address stable ## ethernet.cloned-mac-address random ## NETWORK[Проводное соединение 1]="ipv4.method manual ipv4.addr 192.168.1.2/24,10.10.1.5/8 ipv4.gateway 192.168.1.1 ipv4.dns 192.168.1.1,8.8.8.8" ## NETWORK[Проводное соединение 1]="ethernet.cloned-mac-address 00:22:68:1c:59:b1" ## NETWORK[HotelWifiName]="wifi.cloned-mac-address 70:48:f7:1a:2b:3c" ## NETWORK[all]="+ipv4.dns 192.168.1.1,8.8.8.8 ipv4.ignore-auto-dns yes" ## ublinux-server ip addres ## Адрес сервера по умолчанию #UBLINUXSERVER=192.168.1.31 ## Local network base address ## Адрес сети по умолчанию #NETWORKIP=192.168.1. ## Switch on ipv6 at start on all interfaces ## Включение ipv6 по умолчанию на всех интерфейсах IPV6=no ## Серверы времени ## NTPSERVERS=dhcp|default|stop|$VALUE ## =dhcp # Выбрать сервер времени предложенный DHCP ## =default # Выбрать сервера времени по умолчанию: ntp1.vniiftri.ru ntp2.vniiftri.ru ntp3.vniiftri.ru ntp4.vniiftri.ru ntp21.vniiftri.ru ru.pool.ntp.org ## =stop # Отключить NTP синхронизацию принудительно ## =ntp1.vniiftri.ru,ru.pool.ntp.org # VALUE=Перечень серверов, через ',' или ';' ## не задано # Никаких действий не предпринимается NTPSERVERS=dhcp ## Добавить порядок поиска DNS: avahi и winbind (default no) NSSWITCHAVAHI=yes NSSWITCHWINBIND=yes ## Установка системных прокси ## https://user:password@proxy:port/ #HTTP_PROXY=https://127.0.0.1:8118 #HTTPS_PROXY=https://127.0.0.1:8118 #FTP_PROXY=ftp://127.0.0.1:8118 #NO_PROXY="localhost,127.0.0.1,192.168.1.0/16" ## Для совместного доступа к интернету, можно включить режим шлюза ## Также необходим при связывании нескольких сетей (wlan0 eth0 eth1 ...) #ROUTER=yes ## Iptables firewall exceptions ## Исключения для межсетевого экрана iptables #IPTABLESOPENPORTSTCP=21,22,30001,6881 #IPTABLESOPENPORTSUDP=30002,6881 ## Для работы в режиме сервера, шлюза и точки доступа необходимо открыть доступ из локальной сети #IPTABLESTRUSTEDIP=192.168.1.0/16 ## Переправлять весь поток от пользователей через TOR ## Пользователей можно задавать в виде имени, номера и диапазона ## Должна быть включена служба tor! #TORUSERS=500-999 ## Автоматически менять MAC адрес интерфейса при подключении #MACCHANGE=wlan0 ## По умолчанию используется алгоритм -e не меняющей тип и производителя #MACCHANGEROPTIONS='-a' ## Можно назначить конкретный адрес для интерфейса #MACCHANGEROPTIONS='--mac=XX:XX:XX:XX:XX:XX' ################################################################################ ## Настройка безопасности, ограничений [/etc/ublinux/security] ## Включить поддержку OpenSSL алгоритмов ГОСТ GOST2012-GOST8912-GOST8912 GOST2001-GOST89-GOST89 ## OPENSSL_ENGINE=gost ## Отключить виртуальные терминалы и запретить переключение на них из X11 ## ACCESS_DENIED_VTX11=yes|no*|enable|disable|y|n ## ACCESS_DENIED_VTX11=yes ## Управление доступом в систему, правила разрешения. /etc/security/access.conf ## Предостережение: порядок правил имеет значение. Проверяется последовательно и будет применено первое подходящее правило ## Первыми обрабатываются правила ACCESS_ALLOWED_LOGIN, после правила ACCESS_DENIED_LOGIN ## ACCESS_ALLOWED_LOGIN=rule_1,rule_2,rule_n ## Формат правила: users/groups:origins ## users/groups — список пользователей или групп пользователей или ключевое слово ALL ## origins — список TTY (для локального доступа), имен хостов, доменных имен, IP-адресов, ключевое слово ALL или LOCAL ## root:cron crond :0 tty1 tty2 tty3 tty4 tty5 tty6 vc/1 # Пользователю root разрешен доступ через cron, X11 терминал :0, tty1, ..., tty6, vc/1 ## (wheel):console tty1 tty2 tty3 tty4 tty5 tty6 tty7 pts/0 pts/1 pts/2 pts/3 pts/4 pts/5 pts/6 pts/7 pts/8 pts/9 hvc0 hvc1 hvc2 hvc3 hvc4 hvc5 hvc6 hvc7 hvc8 hvc9 ttyS0 ttyS1 ttyS2 ttyS3 ttyS4 ttyS5 ttyS6 ttyS7 ttyS8 ttyS9 ## root:192.168.1.1 192.168.1.4 192.168.2. 192.168.3.0/24 # Пользователю root разрешен доступ с хостов, которым принадлежат адреса IPv4 ## root:127.0.0.1 ::1 ## superadmin:foo1.bar.org foo2.bar.org .foo.bar.org ## @admins foo:ALL # Пользователю foo и членам администраторов сетевой группы admins разрешен доступ ## @usergroup@@hostgroup:ALL # Членам группы usergroup и группы хостов hostgroup разрешен доступ ## DOMAIN.ORG\Domain Admins:ALL # Пользователям входящих в группу "Domain Admins" домена DOMAIN.ORG разрешен доступ ## (wheel):ALL # Членам группы wheel разрешен доступ ## ALL:LOCAL # Разрешить локальным учетным записям вход в систему локально ## ALL EXCEPT root: 192.168.0. # Разрешить всем, кроме root, входить в систему из под указанной маски сети ## ACCESS_ALLOWED_LOGIN="(users)::0 :1 :2 :3 tty2,(wheel):127.0.0.1 ::1,(wheel):ALL" ## Управление доступом в систему, правила блокировки. /etc/security/access.conf ## ACCESS_DENIED_LOGIN=rule_1,rule_2,rule_n ## Правила (rule_n): ## root:ALL # Пользователю root должно быть отказано в доступе из всех источников ## root:ALL EXCEPT LOCAL # Запретить root вход через сеть ## wheel:ALL EXCEPT LOCAL .domain.org # Запретить нелокальный вход в привилегированные учетные записи группы wheel ## ALL EXCEPT root:tty1 # Запретить вход без полномочий root на tty1 ## ALL EXCEPT superadmin:ALL # Разрешить доступ только пользователю superadmin и никому больше ## ALL EXCEPT (wheel) shutdown sync:LOCAL # Запретить вход в консоль для всех учетных записей, кроме shutdown, sync и входящих в группу wheel ## ALL EXCEPT (wheel):tty1 tty2 tty3 tty4 tty5 tty6 vc/1 localhost # Запретить вход в консоль tty для всех учетных записей, кроме входящих в группу wheel ## DOMAIN.ORG\Domain Users:ALL # Пользователя входящих в группу "Domain Users" домена DOMAIN.ORG запретить доступ ## ALL:ALL # Всем остальным пользователям запретить доступ ## ACCESS_DENIED_LOGIN="root:ALL,ALL:ALL" ## Блокировать макросы приложений ## BLOCK_APP_MACROS=yes ## Отключить влияние SUID бита на привилегии порождаемого процесса всем, кроме указанных исключений в ACCESS_ALLOWED_SUID ## ACCESS_ALLOWED_SUID[ ]=,, ## Find path: ## empty # Если пусто и не задан [], то будут выбраны пути поиска ="/usr/bin /usr/local/bin /usr/local/sbin /home" ## /path_n/subpath # Путь до каталога поиска ## Options: ## -maxdepth 1 # Путь до каталога поиска с уровнем вложения 1 ## Files: ## files # Имена файлов разделённые: , или пробелом или ; ## - # Нет исключений, будут обработаны все файлы ## ACCESS_ALLOWED_SUID[/usr/bin]=vmware-user-suid-wrapper,Xvnc,vncserver-x11,veyon-auth-helper,at,cdda2wav,cdrecord,chage,chfn,chsh,crontab,cu,expiry,firejail,fusermount,fusermount-glusterfs,fusermount3,gpasswd,ksu,mount,mount.cifs,mount.ecryptfs_private,mount.nfs,newgrp,passwd,pkexec,readcd,rscsi,screen-4.9.0,sg,su,sudo,suexec,umount,unix_chkpwd,uucico,uucp,uuname,uustat,uux,uuxqt ## ACCESS_ALLOWED_SUID[/home]=- ## Отключить влияние SGID бита на привилегии порождаемого процесса всем, кроме указанных исключений в ACCESS_ALLOWED_SGID ## ACCESS_ALLOWED_SGID[ ]=,, ## Find path: ## empty # Если пусто и не задан [], то будут выбраны пути поиска ="/usr/bin /usr/local/bin /usr/local/sbin /home" ## /path_n/subpath # Путь до каталога поиска ## Options: ## -maxdepth 1 # Путь до каталога поиска с уровнем вложения 1 ## Files: ## files # Имена файлов разделённые: , или пробелом или ; ## - # Нет исключений, будут обработаны все файлы ## ACCESS_ALLOWED_SGID[/usr/bin]=vmware-user-suid-wrapper,x2goprint,at,locate,mount.cifs,mount.ecryptfs_private,unix_chkpwd,wall,write ## ACCESS_ALLOWED_SGID[/home]=- ## Ограничить запуск интерпретаторов языков программирования в интерактивном режиме ## ACCESS_DENIED_INTERPRETER[ ]=,, ## Find path: ## empty # Если пусто и не задан [], то будут выбраны пути поиска ="/usr/bin /usr/local/bin /usr/local/sbin /home" ## /path_n/subpath # Путь до каталога поиска ## Options: ## -maxdepth 1 # Путь до каталога поиска с уровнем вложения 1 ## Files: ## files # Имена файлов разделённые: , или пробелом или ; ## all # Эквивалентно =gbr3,python,python2,python3,perl,perl6,php,ruby,node,awk,gawk ## ACCESS_DENIED_INTERPRETER=all ## ACCESS_DENIED_INTERPRETER[/usr/bin]=gbr3,python,python2,python3,perl,perl6,php,ruby,node,awk,gawk ## Отключить пользовательские nosuid nodev noexec на смонтированные цели ## MOUNT_ATTR[,]=, ## Source: ## LABEL=