Linux / DevOps

Безопасность сервера: риски root-пароля и настройка прав доступа по SSH

Обновлено: 27.08.2026 · Официальная документация ↗

Чем опасна передача прямого root-пароля разработчикам?

Частая ошибка бизнеса: наняли программиста на аутсорсе доработать сайт и просто скинули ему в мессенджере root-пароль от главного сервера. В этот момент компания теряет контроль над инфраструктурой: программист может случайно удалить базу данных, перезаписать системные файлы, поставить вредоносный скрипт или оставить бэкдор после окончания контракта.

Практика доступа	Возможные последствия	Уровень риска
Единый пароль root для всех сотрудников	Невозможно понять, кто именно удалил файл или уронил сервер; утечка пароля при увольнении	Критический
Персональные учетные записи + SSH-ключи	Каждое действие логируется в `/var/log/auth.log`; доступ отзывается за 5 секунд	Минимальный (Безопасно)
Ограничение прав по sudo (sudoers)	Разработчик может перезапускать только Nginx/PHP, но не имеет доступа к ядру и чужим файлам	Профессиональный стандарт

Как правильно организовать безопасный доступ для сторонних специалистов

Создаем персонального пользователя для подрядчика
```
sudo adduser dev_ivan
sudo usermod -aG www-data dev_ivan
```

Добавляем публичный SSH-ключ разработчика (без передачи паролей)

Попросите программиста прислать его публичный ключ (файл .pub) и добавьте его на сервер:

sudo mkdir -p /home/dev_ivan/.ssh
sudo nano /home/dev_ivan/.ssh/authorized_keys
# Вставьте строку ключа, начинающуюся с ssh-rsa или ssh-ed25519
sudo chmod 700 /home/dev_ivan/.ssh
sudo chmod 600 /home/dev_ivan/.ssh/authorized_keys
sudo chown -R dev_ivan:dev_ivan /home/dev_ivan/.ssh

Выдаем ограниченные права sudo строго на нужные команды
Откройте файл привилегий командой sudo visudo и добавьте правило, разрешающее перезапуск только веб-сервера без запроса пароля root:
```
# Разработчик Иван может перезапускать только Nginx и PHP-FPM:
dev_ivan ALL=(ALL) NPASSWD: /bin/systemctl restart nginx, /bin/systemctl restart php*-fpm
```
Как мгновенно отозвать доступ после завершения работ
Чтобы заблокировать подрядчика, достаточно заблокировать его аккаунт одной командой, не меняя пароли на всем сервере:
```
sudo usermod -L dev_ivan
# Или удалить пользователя:
sudo userdel -r dev_ivan
```

💡 Практика специалистов: Мы полностью исключаем вход под root по SSH на продакшн-серверах: каждому инженеру выдается личный SSH-ключ с ограниченными правами в sudoers, что гарантирует 100% прозрачный аудит действий в журнале безопасности.

Частые вопросы (FAQ)

Где посмотреть историю действий пользователя под sudo?

Все вызовы команд с повышенными правами записываются в системный журнал безопасности: <code>sudo cat /var/log/auth.log | grep sudo</code>.

Что такое утилита visudo и почему нельзя редактировать /etc/sudoers через обычный nano?

Утилита <code>visudo</code> перед сохранением файла проверяет синтаксис на ошибки. Если допустить синтаксическую опечатку в файле sudoers через обычный редактор, вы навсегда заблокируете себе права root на сервере.

Как ограничить доступ разработчика только папкой сайта /var/www?

Назначьте владельцем папки группу <code>www-data</code>, добавьте пользователя в эту группу и установите права на запись: <code>sudo chown -R www-data:www-data /var/www && sudo chmod -R 775 /var/www</code>.

Что такое SSH Jump Host (Бастион-сервер)?

Это защищенный промежуточный сервер-шлюз, через который внешние разработчики авторизуются с двухфакторной аутентификацией (2FA) для получения доступа к внутренним серверам базы данных.