7 bước phân quyền người dùng chuẩn để bảo mật Ubuntu Server

sudo adduser admin01
sudo usermod -aG sudo admin01

PermitRootLogin no

/var/www/myapp

Bạn có thể tạo group riêng:

sudo groupadd myapp
sudo usermod -aG myapp deployer
sudo usermod -aG myapp developer1

Rồi gán ownership hợp lý:

sudo chown -R root:myapp /var/www/myapp
sudo chmod -R 750 /var/www/myapp

Mô hình này cho phép:

– root giữ quyền sở hữu hệ thống
– Các thành viên group myapp được đọc hoặc ghi theo chính sách bạn đặt
– User ngoài group không thể truy cập

Nếu có thư mục cần ghi, hãy tách riêng thay vì mở rộng toàn bộ source code. Ví dụ:

– source code: chỉ đọc với app runtime
– thư mục upload/cache/log: chỉ nơi cần thiết mới cho ghi

Đây là điểm rất quan trọng. Nhiều server bị yếu đi vì admin dùng chmod -R 777 để “cho chạy nhanh”. Đó gần như là một anti-pattern bảo mật. Quyền 777 gần như luôn là dấu hiệu cấu hình sai.

Kiểm soát sudo chặt chẽ, không cấp toàn quyền bừa bãi

sudo rất mạnh, và cũng rất nguy hiểm nếu cấp sai. Trên Ubuntu, nhiều người thêm hàng loạt user vào nhóm sudo chỉ để tiện xử lý sự cố. Hệ quả là bạn có quá nhiều “quasi-root” trong hệ thống.

Cách tiếp cận an toàn hơn:

– Chỉ cấp sudo cho người thực sự cần
– Dùng file trong /etc/sudoers.d/ để cấp quyền theo từng tác vụ
– Giới hạn lệnh được phép chạy nếu vai trò không cần full admin

Ví dụ một user vận hành chỉ được restart Nginx:

ops1 ALL=NOPASSWD: /bin/systemctl restart nginx

Cách này hữu ích trong môi trường có:

– Nhân sự support cần thao tác giới hạn
– Hệ thống automation cần chạy đúng một số lệnh
– Tổ chức muốn audit rõ trách nhiệm

Lưu ý: luôn chỉnh sudoers bằng visudo hoặc file include đúng chuẩn để tránh lỗi cú pháp làm hỏng cơ chế phân quyền.

Bảo vệ file, thư mục và dữ liệu nhạy cảm đúng cách

Phân quyền user sẽ không đủ nếu file hệ thống và dữ liệu nhạy cảm bị mở quá rộng. Một số khu vực cần đặc biệt chú ý:

– /home/*
– /etc/ssh/
– file .env, private key, token, config chứa mật khẩu
– thư mục backup
– log ứng dụng có thể chứa dữ liệu nhạy cảm

Một vài thực hành tốt:

– Home directory của user nên mặc định riêng tư
– Private key SSH phải có quyền chặt, thường là 600
– File cấu hình chứa secret chỉ cho user/service cần thiết đọc
– Backup không nên để mọi tài khoản nội bộ truy cập được

Ví dụ quyền SSH chuẩn:

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Nếu triển khai ứng dụng web, hãy kiểm tra kỹ user chạy service có thể đọc gì, ghi gì. Nhiều lỗ hổng leo thang đặc quyền xảy ra khi ứng dụng có quyền sửa file cấu hình, cron, hoặc script khởi động.

Tắt hoặc khóa các tài khoản không cần thiết

Một server vận hành lâu ngày thường tích tụ “rác quyền hạn”: tài khoản cũ, tài khoản thử nghiệm, khóa SSH không còn dùng, hoặc user hệ thống được tạo cho dịch vụ đã gỡ bỏ.

Đây là mối nguy rất thật vì kẻ tấn công thường tận dụng những gì bị lãng quên.

Bạn nên định kỳ kiểm tra:

– User nào còn hoạt động
– User nào có shell đăng nhập
– Ai đang nằm trong nhóm sudo
– Key SSH nào còn hợp lệ
– Có tài khoản nào lâu không sử dụng

Với tài khoản không còn cần, hãy khóa thay vì để tồn tại vô chủ:

sudo usermod -L username

Với nhân sự nghỉ việc hoặc đổi vai trò, việc thu hồi quyền phải là quy trình bắt buộc, không phải việc “làm khi rảnh”.

Audit và rà soát định kỳ mới tạo ra an toàn thật sự

Phân quyền không phải thiết lập một lần rồi quên. Server an toàn là server được rà soát liên tục. Bạn nên kiểm tra định kỳ các nội dung sau:

– Danh sách user local
– Thành viên nhóm sudo
– Quyền truy cập các thư mục ứng dụng
– File có bit SUID/SGID bất thường
– Các dịch vụ đang chạy bằng user nào
– Log auth.log để phát hiện hành vi đăng nhập lạ

Ngay cả khi cấu hình ban đầu chuẩn, chỉ cần vài tháng vá lỗi gấp, thêm script tạm, cấp quyền nóng cho một user, hệ thống có thể lệch khỏi trạng thái an toàn ban đầu.

Một checklist ngắn mỗi tháng thường hiệu quả hơn một đợt “đại tu bảo mật” mỗi năm.

Kết luận: phân quyền chuẩn là lớp phòng thủ rẻ nhưng hiệu quả nhất

Nếu phải chọn một việc đơn giản nhưng tác động lớn để làm cho Ubuntu server an toàn hơn, đó chính là thiết lập phân quyền người dùng bài bản. Khi mỗi user có đúng vai trò, mỗi service có đúng phạm vi truy cập, và quyền quản trị được kiểm soát bằng sudo thay vì dùng root trực tiếp, bạn đã giảm đáng kể nguy cơ từ cả lỗi con người lẫn tấn công thực tế.

Hãy bắt đầu từ những bước rất thực dụng:

– Tạo user riêng cho từng quản trị viên
– Tắt SSH root
– Dùng group để quản lý quyền
– Tách user cho từng dịch vụ
– Giới hạn sudo theo nhu cầu thực
– Rà soát định kỳ tài khoản và quyền truy cập

Bảo mật server không đến từ một công cụ thần kỳ. Nó đến từ những quyết định đúng, lặp lại đều đặn. Và trong số đó, phân quyền chuẩn là nền móng quan trọng nhất. Nếu nền móng này vững, mọi lớp bảo vệ khác trên Ubuntu server mới thực sự phát huy hiệu quả.