<\/span><\/h3>\n\u0130lk ad\u0131m, root yerine kullanaca\u011f\u0131m\u0131z yeni bir kullan\u0131c\u0131 olu\u015fturmakt\u0131r. Bu kullan\u0131c\u0131 bizim y\u00f6netici hesab\u0131m\u0131z olacakt\u0131r. `adduser` komutu bu i\u015flem i\u00e7in idealdir. \u00d6rne\u011fin, `ihsadmin` ad\u0131nda yeni bir kullan\u0131c\u0131 olu\u015ftural\u0131m:<\/p>\n
# adduser ihsadmin<\/b><\/code><\/p>\nBu komut \u00e7al\u0131\u015ft\u0131r\u0131ld\u0131\u011f\u0131nda, sistem sizden yeni kullan\u0131c\u0131 i\u00e7in g\u00fc\u00e7l\u00fc bir parola belirlemenizi isteyecektir. Ard\u0131ndan kullan\u0131c\u0131yla ilgili baz\u0131 ek bilgileri (Ad, Soyad vb.) soracakt\u0131r; bu k\u0131s\u0131mlar\u0131 bo\u015f b\u0131rakabilirsiniz. G\u00fc\u00e7l\u00fc bir parola olu\u015fturmak kritik \u00f6neme sahiptir.<\/p>\n
<\/span>Yeni Kullan\u0131c\u0131y\u0131 `sudo` veya `wheel` Grubuna Ekleme<\/span><\/h3>\nKullan\u0131c\u0131y\u0131 olu\u015fturduktan sonra, ona `sudo` komutunu kullanma yetkisi vermemiz gerekir. Debian\/Ubuntu tabanl\u0131 sistemlerde bu genellikle `sudo` grubuna eklenerek yap\u0131l\u0131r. CentOS\/RHEL gibi sistemlerde ise `wheel` grubu bu i\u015flevi g\u00f6r\u00fcr.<\/p>\n
Debian\/Ubuntu i\u00e7in:<\/b><\/p>\n
# usermod -aG sudo ihsadmin<\/b><\/code><\/p>\nCentOS\/RHEL i\u00e7in:<\/b><\/p>\n
# usermod -aG wheel ihsadmin<\/b><\/code><\/p>\n`-aG` parametresi, kullan\u0131c\u0131y\u0131 mevcut gruplar\u0131ndan \u00e7\u0131karmadan belirtilen gruba ekler (`append`). Bu komut sonras\u0131, `ihsadmin` kullan\u0131c\u0131s\u0131 `sudo` komutunu kullanabilecektir.<\/p>\n
<\/span>Root Hesab\u0131n\u0131n Parolas\u0131n\u0131 Kilitleme (`passwd -l root`)<\/span><\/h3>\nYeni y\u00f6netici kullan\u0131c\u0131m\u0131z\u0131n `sudo` yetkilerini test ettikten ve sorunsuz \u00e7al\u0131\u015ft\u0131\u011f\u0131ndan emin olduktan sonra, root hesab\u0131n\u0131n parolas\u0131n\u0131 kilitleyerek do\u011frudan parola ile giri\u015f yap\u0131lmas\u0131n\u0131 engelleyebiliriz. Bu i\u015flem, root hesab\u0131n\u0131 silmez, sadece parola tabanl\u0131 kimlik do\u011frulamay\u0131 devre d\u0131\u015f\u0131 b\u0131rak\u0131r.<\/p>\n
# passwd -l root<\/b><\/code><\/p>\nBu komut, `\/etc\/shadow` dosyas\u0131ndaki root kullan\u0131c\u0131s\u0131n\u0131n parola alan\u0131n\u0131n ba\u015f\u0131na bir “!” i\u015fareti ekleyerek parolay\u0131 kilitler. \u0130leride bir nedenle kilidi a\u00e7mak isterseniz `passwd -u root` komutunu kullanabilirsiniz.<\/p>\n
<\/span>SSH Servisi \u00dczerinden Root Giri\u015fini Yasaklama (`PermitRootLogin no`)<\/span><\/h3>\nEn kritik ad\u0131mlardan biri, SSH servisi \u00fczerinden `root` kullan\u0131c\u0131s\u0131n\u0131n oturum a\u00e7mas\u0131n\u0131 tamamen engellemektir. Bu, uzaktan gelebilecek brute-force sald\u0131r\u0131lar\u0131n\u0131 do\u011frudan root hesab\u0131na kar\u015f\u0131 imkans\u0131z hale getirir. Bu ayar, SSH sunucusunun yap\u0131land\u0131rma dosyas\u0131 olan `\/etc\/ssh\/sshd_config` \u00fczerinden yap\u0131l\u0131r.<\/p>\n
1. Dosyay\u0131 bir metin d\u00fczenleyici ile a\u00e7\u0131n:<\/p>\n
$ sudo nano \/etc\/ssh\/sshd_config<\/b><\/code><\/p>\n2. Dosya i\u00e7inde `PermitRootLogin` sat\u0131r\u0131n\u0131 bulun. Genellikle `#PermitRootLogin yes` veya `PermitRootLogin yes` \u015feklindedir.<\/p>\n
3. Bu sat\u0131r\u0131 `PermitRootLogin no` olarak de\u011fi\u015ftirin. E\u011fer sat\u0131r\u0131n ba\u015f\u0131nda `#` i\u015fareti varsa (yorum sat\u0131r\u0131), onu da kald\u0131r\u0131n.<\/p>\n
4. De\u011fi\u015fikli\u011fi kaydedip dosyadan \u00e7\u0131k\u0131n ve SSH servisini yeniden ba\u015flatarak ayarlar\u0131n ge\u00e7erli olmas\u0131n\u0131 sa\u011flay\u0131n:<\/p>\n
$ sudo systemctl restart sshd<\/b><\/code><\/p>\n\u00d6NEML\u0130:<\/b> Bu ad\u0131m\u0131 yapmadan \u00f6nce, olu\u015fturdu\u011funuz yeni kullan\u0131c\u0131 (`ihsadmin`) ile ayr\u0131 bir terminalden SSH ba\u011flant\u0131s\u0131 kurabildi\u011finizden ve `sudo` komutunu kullanabildi\u011finizden %100 emin olun. Aksi takdirde sunucuya eri\u015fiminizi tamamen kaybedebilirsiniz.<\/p>\n\n
\n\n\nPermitRootLogin<\/code> De\u011feri<\/th>\n| A\u00e7\u0131klamas\u0131<\/th>\n<\/tr>\n<\/thead>\n | \n\nyes<\/code><\/td>\nRoot kullan\u0131c\u0131s\u0131n\u0131n parola veya SSH anahtar\u0131 ile do\u011frudan giri\u015f yapmas\u0131na izin verir. (G\u00fcvenli de\u011fil)<\/b><\/td>\n<\/tr>\n\nprohibit-password<\/code><\/td>\n| Root kullan\u0131c\u0131s\u0131n\u0131n sadece parola olmadan (SSH anahtar\u0131 ile) giri\u015f yapmas\u0131na izin verir. Parola ile giri\u015fi yasaklar.<\/td>\n<\/tr>\n | \nwithout-password<\/code><\/td>\n| `prohibit-password` ile ayn\u0131 i\u015flevi g\u00f6r\u00fcr.<\/td>\n<\/tr>\n | \nno<\/code><\/td>\nRoot kullan\u0131c\u0131s\u0131n\u0131n SSH \u00fczerinden herhangi bir y\u00f6ntemle giri\u015f yapmas\u0131n\u0131 tamamen engeller. (En g\u00fcvenli se\u00e7enek)<\/b><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/span>Sudo’nun G\u00fcvenli ve Etkin Yap\u0131land\u0131r\u0131lmas\u0131 (`\/etc\/sudoers`)<\/span><\/h2>\nSudo’nun g\u00fcc\u00fc, `\/etc\/sudoers` dosyas\u0131ndaki esnek yap\u0131land\u0131rma yeteneklerinden gelir. Bu dosya, kimin, hangi sunucuda, hangi komutlar\u0131, kimin yetkileriyle \u00e7al\u0131\u015ft\u0131rabilece\u011fini tan\u0131mlar. Ancak bu dosyay\u0131 d\u00fczenlerken \u00e7ok dikkatli olmak gerekir; \u00e7\u00fcnk\u00fc yap\u0131lacak bir sentaks hatas\u0131, t\u00fcm `sudo` sistemini \u00e7al\u0131\u015fmaz hale getirebilir ve sizi sistemden kilitleyebilir.<\/p>\n <\/span>`visudo` Komutu ile G\u00fcvenli D\u00fczenleme Yapman\u0131n \u00d6nemi<\/span><\/h3>\n`\/etc\/sudoers` dosyas\u0131n\u0131 do\u011frudan `nano` veya `vi` gibi bir metin d\u00fczenleyici ile a\u00e7mak yerine, her zaman `visudo` komutunu kullanmal\u0131s\u0131n\u0131z. `visudo` komutu, dosyay\u0131 d\u00fczenlemek i\u00e7in varsay\u0131lan metin d\u00fczenleyicinizi a\u00e7ar, ancak dosyay\u0131 kaydetti\u011finizde bir sentaks kontrol\u00fc yapar. E\u011fer bir yaz\u0131m hatas\u0131 veya kural d\u0131\u015f\u0131 bir yap\u0131land\u0131rma tespit ederse, dosyay\u0131 kaydetmenize izin vermez ve hatay\u0131 d\u00fczeltmenizi ister. Bu \u00f6zellik, `sudo` sistemini bozman\u0131z\u0131 engelleyen hayati bir g\u00fcvenlik a\u011f\u0131d\u0131r.<\/p>\n <\/span>Kullan\u0131c\u0131lara T\u00fcm Yetkileri Verme (`ALL=(ALL:ALL) ALL`)<\/span><\/h3>\nBir kullan\u0131c\u0131y\u0131 `sudo` veya `wheel` grubuna ekledi\u011finizde, genellikle `\/etc\/sudoers` dosyas\u0131nda bu grup i\u00e7in tan\u0131mlanm\u0131\u015f varsay\u0131lan bir kural devreye girer. Bu kural genellikle \u015fu \u015fekildedir:<\/p>\n %sudo ALL=(ALL:ALL) ALL<\/b><\/code><\/p>\nBu sat\u0131r\u0131n anlam\u0131 \u015fudur:<\/p>\n \n- %sudo<\/b>: `sudo` grubundaki kullan\u0131c\u0131lar i\u00e7in ge\u00e7erlidir. (`%` i\u015fareti grup oldu\u011funu belirtir.)<\/li>\n
- \u0130lk ALL<\/b>: Kural\u0131n ge\u00e7erli oldu\u011fu t\u00fcm makineler (hostlar) i\u00e7in.<\/li>\n
- (ALL:ALL)<\/b>: Komutlar\u0131n \u00e7al\u0131\u015ft\u0131r\u0131labilece\u011fi t\u00fcm kullan\u0131c\u0131 ve grup yetkileri i\u00e7in.<\/li>\n
- \u0130kinci ALL<\/b>: \u00c7al\u0131\u015ft\u0131r\u0131labilecek t\u00fcm komutlar i\u00e7in.<\/li>\n<\/ul>\n
Bu, kullan\u0131c\u0131ya `sudo` ile her komutu root gibi \u00e7al\u0131\u015ft\u0131rma yetkisi verir ve en yayg\u0131n kullan\u0131lan yap\u0131land\u0131rmad\u0131r.<\/p>\n <\/span>Belirli Komutlar \u0130\u00e7in K\u0131s\u0131tl\u0131 Yetki Tan\u0131mlama<\/span><\/h3>\nEn az ayr\u0131cal\u0131k ilkesini uygulamak istedi\u011finizde, kullan\u0131c\u0131lara sadece ihtiya\u00e7 duyduklar\u0131 komutlar\u0131 \u00e7al\u0131\u015ft\u0131rma yetkisi verebilirsiniz. \u00d6rne\u011fin, `webadmin` adl\u0131 bir kullan\u0131c\u0131ya sadece Nginx web sunucusunu yeniden ba\u015flatma ve durumunu kontrol etme yetkisi verelim:<\/p>\n `visudo` ile dosyay\u0131 a\u00e7\u0131p \u015fu sat\u0131rlar\u0131 ekleyin:<\/p>\n webadmin ALL = \/usr\/sbin\/service nginx restart, \/usr\/sbin\/service nginx status<\/b><\/code><\/p>\nBu kural sayesinde `webadmin` kullan\u0131c\u0131s\u0131, `sudo service nginx restart` komutunu \u00e7al\u0131\u015ft\u0131rabilirken, `sudo apt-get update` gibi ba\u015fka bir komutu \u00e7al\u0131\u015ft\u0131ramaz.<\/p>\n <\/span>Grup Bazl\u0131 Yetkilendirme ile Y\u00f6netimi Kolayla\u015ft\u0131rma<\/span><\/h3>\nBirden fazla kullan\u0131c\u0131ya ayn\u0131 yetkileri tek tek tan\u0131mlamak yerine, bir grup olu\u015fturup yetkiyi o gruba atamak daha verimlidir. \u00d6rne\u011fin, t\u00fcm veritaban\u0131 y\u00f6neticilerini `dbadmins` ad\u0131nda bir gruba ekleyip, onlara MySQL servisini y\u00f6netme yetkisi verebiliriz.<\/p>\n 1. \u00d6nce `dbadmins` grubunu olu\u015fturun: `sudo groupadd dbadmins<\/b>`<\/p>\n 2. \u0130lgili kullan\u0131c\u0131lar\u0131 bu gruba ekleyin: `sudo usermod -aG dbadmins kullanici1<\/b>`<\/p>\n 3. `visudo` ile `\/etc\/sudoers` dosyas\u0131na \u015fu kural\u0131 ekleyin:<\/p>\n %dbadmins ALL = \/usr\/sbin\/service mysql *<\/b><\/code><\/p>\nArt\u0131k `dbadmins` grubundaki t\u00fcm kullan\u0131c\u0131lar, MySQL servisiyle ilgili t\u00fcm `service` komutlar\u0131n\u0131 (`start`, `stop`, `restart` vb.) \u00e7al\u0131\u015ft\u0131rabilir.<\/p>\n <\/span>Sudo i\u00e7in Parola Politikalar\u0131n\u0131 Yap\u0131land\u0131rma<\/span><\/h3>\nSudo’nun varsay\u0131lan davran\u0131\u015flar\u0131n\u0131 da de\u011fi\u015ftirebilirsiniz. \u00d6rne\u011fin, bir kullan\u0131c\u0131ya belirli komutlar\u0131 parola girmeden \u00e7al\u0131\u015ft\u0131rma izni verebilirsiniz. Bu, \u00f6zellikle otomasyon betiklerinde kullan\u0131\u015fl\u0131 olabilir, ancak g\u00fcvenlik riski ta\u015f\u0131r.<\/p>\n \u00d6rne\u011fin, `backupuser` kullan\u0131c\u0131s\u0131n\u0131n yedekleme beti\u011fini parola sormadan \u00e7al\u0131\u015ft\u0131rmas\u0131 i\u00e7in:<\/p>\n
| | | | | | |