Как контролировать сисадмина?

V(o)ViK ваша мыслю ясна уже давно, видимо вы набиваетесь в администраторы.

Вам и другим уважаемым участникам дискуссии напоминаю, вопрос не стоит "нужно - не нужно контролировать" и " как выбрать надежного сисадмина", вопрос стоит в способах контроля "как контролировать?" и не важно на сколько это надежный сисадмин или компания.

Сомнительное высказывание, что я не понимаю, я всегда ищу информацию что бы понять что и зачем. Ибо сам дома уже тоже на линукс перешел и учиться приходится каждый день чему то новому, в том числе и работе через консоль.

А желание контролировать логично что приведет к желанию научиться все делать самому и понимать суть.

Анализировать тоже вроде умею

Зачем весь сервер? Кто будет запускать скрипт? Крон? Мониторьте гитом задания крона. Все конфиги лежат в /etc. Если кто-то захочет запустить что-то не из предусмотеренных мест ему придется внести изменения в etc. А если админ будет запускать руками, а не кроном, то тут вы никак не отмониторите - он может весь скрипт просто в консоли набрать, не создавая файлов.

Вобщем будет игра кто кого умнее.

Ну ищите по дате создания/изменения файла find'ом, например. Но дату тоже легко подделать.

Элементарно

Все что делает админ находится в хистори

Просто попроси его перед изменением конфигов делать их бекап

Например я по желанию заказчика всегда высылал хистори и список изменений в файлах

Не вижу в этом каких то сложностей

Для этого есть утилиты. find, dpkg, debsums и т.п.

Проблема в том, что подобные утилиты требуют грамотного администратора для анализа изменений. А во-вторых, имеющий полный доступ к серверу человек - может так или иначе сфальсифицировать результаты их работы.

"Есть", только вам придется 1) постоянно следить за этими "консолями" 2) быть более квалифицированным системным администратором чем нанятый человек.

А зачем вам "разовые заказы", если есть постоянный администратор?

"Экономите"? Ну, вас предупредили.

Не гарантировала бы ничего, если бы вы работали со случайным васей. Человек, который занимается администрированием профессионально - дорожит своей репутацией.

Речь шла не о гранате в штанах, а о том, в чем нанятый вами специалист должен быть профессионалом. Так что не фантазируйте.

Ваш бизнес критически завязан на этих людей? Могут они его остановить, нажав пару клавиш?

Я знаю миллион способов как сформировать фальшивую хистори. Или вовсе ее не писать.

Поймите, этот "рецепт" не относится к работе недобросовестного человека, каковым ТС предполагает нанятого "админа" по-умолчанию.

Вы представляете сколько файлов меняется при обновлении ОС, например, на новый релиз ?

Каждый хотите проверять ? хотите шел? он может в памяти быть, скачиваться при загрузке сервера, запускаться и удаляться. Да можно тысячи способов придумать так что даже с очень высокой квалификацией бэкдор можно искать очень долго. Может прекращать выполнятся при подключении по ssh и вообще это все отдельная тема. Вам такой аудит будет стоить больше чем обслуживание вашего сервера в год.

Нет пока в юниксе команды "спалить нечестного админа". :)

Работайте с организациями, заключайте договор, делайте внешние бэкапы.

Если у вас все мега секретное, нанимайте в штат, заключайте договор о неразглашении и т.д.

Никто не "срубит", если вы заранее оговорили объем работ. Если договариваетесь на уровне "сделай мне зашибись" - будет (как правило) недоволен и исполнитель и заказчик.

С учетом того, что дырок на сайте у вас немеряно - он просто использует одну из них. Как явно было при рассылке спама.

Нет такого "запроса". Полный доступ к серверу - это не шутка. При желании и умениях - он позволит обойти любую подобную "защиту". Тем более, если ваши знания и умения, в отличие от нанятого человека - ниже плинтуса.

Сколько вы этому человеку заплатили и за что? Желательно честно. На данном сервере были публичные сервисы (сайты клиентов и т.п.)?

А как "организации, которые состоят из больше, чем одного человека" контроллируют своих сотрудников? Ведь, фактически, тот же фрилансер-кидала-спамер может пойти работать удаленно или даже в офис в эту фирму и там незаметно вершить свои мелкие пакости. Или просто в один прекрасный день уволиться, прихватив с собой руты от всех клиентских серверов и приватный ключ фирмы.

А как больницы контролируют хирургов

Может он вырежет пару почек и уволится

А вот для этого существуют договоры с сотрудниками, испытательный срок и регламенты на все процедуры, включай увольнение и смену паролей/ключей, а также проведение регулярного аудита. Хотя и это не дает 100% гарантий, заговор сотрудников маловероятен. Рынок рабочей силы не такой уж большой в нашей отрасли. Дальнейшее трудоустройство будет очень затруднено.

В конечном счете это уже проблема фирмы, а не клиента.

этот вопрос мне тоже достаточно интересен. но вроде почку сложнее незаметно вынести чем рутпароль.