[Redhat] Red Hat Enterprise Linux 시스템 계정 삭제에 관하여..
글쓴이 :
최장섭
날짜 : 2015-04-13 (월) 21:56
조회 : 3296
Red Hat Enterprise Linux 의 시스템 유저 어카운트를 삭제하거나 변경해도 문제가 없을까?
문제
- 서버 보안을 위해 시스템 유저(500 이하의 UID 를 가진 유저 어카운트) 를 제거해도 문제가 없습니까?
- 시스템 유저의 프라이머리 그룹을 변경해도 문제가 없습니까?
- 보안 요청에 따라 사용하지 않는 시스템 어카운트들을 삭제할 경우 확인할 필요가 있습니까?
- 다음 기본(표준) 시스템 유저 어카운트들을 어떻게 제거/삭제/무효화합니까? sync, shutdown, halt, ftp, gopher, uucp, operator, pcap(used by tcpdump)
- GID(gid)가 0 인 시스템 어카운트(users/groups) 제거 방법
- User/Group ID 무효화 방법
- 시스템 소유 ID 들의 패스워드 만료 방법
환경 - Red Hat Enterprise Linux 4 - Red Hat Enterprise Linux 5 - Red Hat Enterprise Linux 6
해결
- sync、shutdown、halt、operator 는 특별한 어카운트들이지만 기본적으로 사용되지는 않습니다. 예를 들어 halt 어카운트(유효한 경우)는 로그인 프롬프트로부터 시스템을 정지시키는 방법을 제공합니다.
- 기본적으로 시스템 서비스 어카운트들의 UID/GID 를 유지하시기를 권장드립니다. 몇몇 시스템 서비스 어카운트들의 UID/GID 는 어플리케이션 자체에 하드 코딩되어 있습니다. UID/GID를 바꿀 경우 잠재적으로 어플리케이션의 기능에 문제가 생길 가능성이 있습니다.
- 모든 서비스와 관련된 패키지가 제거되지 않는다면 시스템으로부터 시스템 유저 어카운트들을 제거하지 말 것을 권장드립니다. 해당 유저들의 대부분은 추가 인스톨된 패키지로부터 제공되기 때문입니다.
- 서비스가 사용되지 않는다면 각 유저 어카운트를 삭제할 시스템으로부터 관련 패키지를 삭제할 수 있습니다. 대부분의 서비스는 'root' 권한으로 기동되고 각 유저 어카운트로 전환됩니다. 그러므로 예를 들어 만일 해당 시스템에서 서비스(named, squid, mysql, dovecot, ntp, avahi, ftp 등)가 운영되고 있다면 각 유저들을 제거하지 말 것을 권장드립니다.
- 일부 시스템 어카운트는 LSB 사양에 정의되어 있거나 디바이스 파일들에 대한 기본 유저로서 사용됩니다.
- Red Hat 사는 시스템 유저들의 프라이머리 그룹을 변경(예를 들어 gid 0 의 유저를 삭제하는 것을 포함)하지 않는 것을 권장드립니다. 변경된 설정에 대해서는 Red Hat 사의 품질 보증 테스트(QA)의 범위 밖이며 예기치 않은 문제가 발생할 가능성이 있습니다.
