Weg von root: die Entscheidung, zu der niemand zwingt und die sich am meisten auszahlt

Die Installation gibt dir root, alles funktioniert damit, und niemand zwingt dich, ein weiteres Konto anzulegen. Deshalb werden die meisten Installationen jahrelang als root betrieben. Der Preis dafür kommt nicht eines Tages auf einen Schlag, er sammelt sich still an zwei Stellen.

Der erste Preis: worauf der Datensatz zeigt

Das System zeichnet auf, was getan wurde, und jeder Eintrag hat einen Eigentümer. Melden sich alle als root an, ist der Name im Eintrag für alle derselbe. Der Eintrag beantwortet weiter die Frage "was ist passiert", hört aber auf, "wer war es" zu beantworten. In einer Ein-Personen-Umgebung macht das keinen Unterschied; an dem Tag, an dem eine zweite Person dazukommt, hört der Eintrag auf, ein Beweis zu sein.

Der zweite Preis: ein Fehler hat keinen Boden

Es gibt keinen Vorgang, den root nicht ausführen kann, also gibt es auch keine Schicht, die einen falschen Klick aufhalten würde. Arbeitet man mit einem auf die eigene Aufgabe zugeschnittenen Konto, ist ein Fehler außerhalb des eigenen Bereichs von vornherein nicht möglich. Das ist keine Frage von Misstrauen, sondern eine Frage davon, auf einem Boden zu stehen, der einen Grund hat.

Der dritte Preis: Befugnis fängt an zu wandern

Eine offen gelassene Browsersitzung, ein an ein Skript gegebenes Passwort, eine irgendwo gespeicherte Verbindung: arbeitet man als root, tragen sie alle volle Befugnis. Die Befugnis sitzt dann nicht mehr bei der Person, sie sammelt sich in den Spuren, die sie hinterlässt.

Was zu tun ist

Schalte root nicht ab. Es ist der Rettungsweg, und eines Tages brauchst du ihn wirklich. Zu tun ist, ihm die tägliche Arbeit wegzunehmen: leg dir ein Administratorkonto an, gib ihm genug Befugnis für das, was du tatsächlich täglich tust, und setze root ein starkes Passwort samt zweitem Faktor auf und stell es beiseite.

Was die tägliche Arbeit ist, sieht in den meisten Umgebungen ähnlich aus: schauen, Maschinen starten und stoppen, Momentaufnahmen anlegen, sichern, aktualisieren. Das Speicherlayout zu ändern oder an der Clusterstruktur zu drehen sind ein paar Tage im Jahr. Dafür steht root weiterhin bereit.

Die Falle beim Übergang

Du wechselst auf das neue Konto, etwas geht nicht, und der Reflex ist, zu root zurückzukehren. Was du in dem Moment eigentlich tun solltest, ist zu lesen, welches Recht gefehlt hat, denn diese Liste ist genau das, was deine tägliche Arbeit braucht. Innerhalb einer Woche beruhigt sich die Liste, und du gehst nie wieder zurück.

Was Atlas tut

Atlas baut kein eigenes Rollensystem: es fragt Proxmox, was das anmeldende Konto darf, und baut den Bildschirm daraus. Von root wegzugehen kostet dich in der Oberfläche also nichts, es gleicht deinen Bereich nur der Wahrheit an. Der Prüfeintrag nennt außerdem das Konto, das die Anfrage gestellt hat, sowohl für ausgeführte als auch für abgelehnte Anfragen. Melden sich alle als root an, sagt dieses Feld für alle dasselbe; an dem Tag, an dem ihr auf getrennte Konten wechselt, fängt derselbe Eintrag an zu antworten.