permissões de acesso em NFS + LDAP

[rogerfi]

Oi pessoal,

Comecei a trabalhar em uma empresa onde é usado NFS para compartilhar um servidor de arquivos e LDAP para autenticação de usuários. Cada usuário tem permissões de root usando o sudo em sua própria máquina.
Essa configuração me deixou com a seguinte dúvida: Se um cara usa os comandos sudo su para entrar na conta de outro usuário, ele também consegue entrar na pasta pessoal deste usuário, correto? Há alguma maneira de evitar isso? Ou seja, ao acessar o NFS é usado o usuário original que fez o login (ou alguma coisa do tipo)

/etc/exports
/exports/arquivos *(rw,sync,no_subtree_check)

/etc/sudoers (nas estações)
user1    ALL=(ALL) ALL

/etc/fstab (nas estações)
192.168.1.2:/exports/arquivos     /rede      nfs     defaults        0 0

A minha dúvida ficou clara? Eu ainda não consegui achar nada a respeito (nem no forum nem no google)

[zekkerj]

Se um cara usa os comandos sudo su para entrar na conta de outro usuário, ele também consegue entrar na pasta pessoal deste usuário, correto? Há alguma maneira de evitar isso? Ou seja, ao acessar o NFS é usado o usuário original que fez o login (ou alguma coisa do tipo)

NFS é considerado um sistema inseguro. Esse é um dos motivos: o controle de acesso é feito pelo UID do usuário na máquina de destino; se o UID 1000 tem acesso a um arquivo ou diretório na máquina de origem, ele terá o mesmo acesso na máquina de destino.

A única forma de impedir isso é configurar o sudo pra não permitir aos usuários das máquinas ter acesso a abrir novos shells, ou a executar qualquer comando como qualquer usuário exceto o próprio root.

Por incrível que pareça, o usuário root é seguro pra esses acessos, pois o NFS prevê o bloqueio dos privilégios de root no acesso ("root_squash").

[rogerfi]

E o que você sugere, então, pra fazer o compartilhamento de arquivos - qual o melhor procedimento (ou o melhor serviço) para montar um servidor de arquivos?
Comecei a ler uns textos sobre o NFSv4, onde diz que pode ser usado o kerberos pra aumentar a segurança. Vocês sabem se nesse caso o problema é resolvido?
Estou montando um servidor virtual pra instalar o NFSv4 e um KDC pra poder testar. Mas, de qualquer forma, qual é o serviço mais recomendado para se montar servidores de arquivos? Samba?

[zekkerj]

Acho que a primeira questão a resolver é cortar o acesso administrativo dos usuários. Sem isso, eles não podem fuxicar fora de sua própria pasta HOME.

Outra alternativa seria parar de montar todo o diretório /home, e passar a montar apenas e diretamente as pastas dos usuários, mas isso seria bem mais complicado em termos de administração.

[rogerfi]

Bom, então acho que não vai ter muito jeito... Um dos requisitos da equipe de desenvolvimento é ter permissão administrativa em suas próprias máquinas. Quanto ao home, ele não é montado via NFS, é local. Via NFS são montadas pastas de projetos, pastas do setor administrativo, etc.

O que eu gostaria era de isolar o acesso da equipe de desenvolvimento às pastas administrativas. Nesse caso, então, estou imaginando que a única solução é separar essas pastas em árvores diferentes e montar as pastas administrativas apenas nas estações onde são necessárias. É isso mesmo ou tenho outra opção? O uso do NFSv4+kerberos não é uma solução?

[zekkerj]

Lembrei de outra opção, mas não sei se rola com NFS: sistema de arquivos criptografado.