Start › Rootserver › Benutzer mit sudo anlegen

Benutzer mit sudo anlegen

Arbeiten mit einem normalen Benutzer statt root.

Benutzer anlegen (Namen anpassen):
```
adduser max
```
Zur Admin-Gruppe hinzufügen, damit sudo funktioniert:
```
usermod -aG sudo max
```
Den SSH-Schlüssel für den neuen Benutzer hinterlegen:
```
ssh-copy-id -i ~/.ssh/id_ed25519.pub max@IP-ADRESSE
```
In einem neuen Terminal testen:
```
ssh max@IP-ADRESSE
sudo -v
```

Warum ein eigener Benutzer?

Mit sudo ist jede Admin-Aktion einzeln nachvollziehbar. Der Root-Login selbst wird im nächsten Schritt gesperrt.

Erst wenn dieser Login mit sudo klappt, den Root-Login sperren (siehe SSH absichern).

Wie sudo die Rechte regelt (sudoers)

Welcher Benutzer sudo nutzen darf, steht in /etc/sudoers. Auf Debian und Ubuntu enthält die Datei standardmäßig diese Zeile:

%sudo   ALL=(ALL:ALL) ALL

Das % bedeutet: gilt für eine Gruppe. Jeder Benutzer in der Gruppe sudo darf damit alle Befehle als jeder Benutzer ausführen. Deshalb reicht der Schritt usermod -aG sudo max, die sudoers-Datei muss dafür nicht angefasst werden.

Auf RHEL-artigen Systemen (Rocky, Alma) heißt die Gruppe wheel, dort also usermod -aG wheel max.

Einzelnen Benutzer direkt eintragen

Nur nötig, wenn ein bestimmter Benutzer sudo bekommen soll, ohne in der Gruppe zu sein. Die Datei bearbeitet man ausschließlich mit visudo, das prüft die Syntax vor dem Speichern. Eine fehlerhafte sudoers-Datei sperrt sonst alle Admins aus.

sudo visudo -f /etc/sudoers.d/max

Dort genau diese eine Zeile eintragen und speichern:

max ALL=(ALL:ALL) ALL

Danach Rechte und Syntax prüfen:

sudo chmod 440 /etc/sudoers.d/max
sudo visudo -c

Ein Eintrag wie NOPASSWD sollte man vermeiden, sonst braucht sudo kein Passwort mehr und ein gestohlener Login hat sofort vollen Zugriff.

Vorher immer in einem zweiten Terminal testen: sudo -l -U max zeigt die erlaubten Befehle. Die offene Sitzung mit root erst schließen, wenn sudo -v als Benutzer funktioniert.

Zum Mitverfolgen

Die Vorführung zeigt Schritt für Schritt, wie max angelegt, berechtigt und getestet wird. Sie läuft nicht auf einem echten Server.