Перестать работать под root: решение, к которому никто не принуждает, и которое окупается больше всего

Установка выдаёт вам root, с ним работает всё, и никто не заставляет вас заводить вторую учётную запись. Поэтому большинство установок годами администрируются под root. Плата за это не приходит в один день целиком, она тихо копится в двух местах.

Первая плата: на кого указывает запись

Система записывает, что было сделано, и у каждой записи есть владелец. Если все входят под root, имя в записи для всех одно и то же. Запись продолжает отвечать на вопрос «что произошло», но перестаёт отвечать на «кто это сделал». В установке на одного человека это ничего не меняет; в день, когда появляется второй, запись перестаёт быть доказательством.

Вторая плата: у ошибки нет дна

Нет операции, которую root не смог бы выполнить, а значит, нет и слоя, который остановил бы неверный щелчок. Работая с учётной записью, скроенной под вашу задачу, ошибка за пределами вашего охвата невозможна изначально. Дело не в недоверии, а в том, чтобы стоять на почве, у которой есть дно.

Третья плата: полномочия начинают путешествовать

Оставленная открытой сессия браузера, отданный скрипту пароль, где-то сохранённое подключение: при работе под root всё это несёт полные полномочия. Полномочия больше не остаются у человека, они копятся в следах, которые он оставляет.

Что делать

Не отключайте root. Это путь восстановления, и однажды он действительно понадобится. Сделать нужно другое: забрать у него ежедневную работу. Заведите себе учётную запись администратора, дайте ей ровно столько полномочий, сколько нужно для того, что вы действительно делаете каждый день, а на root поставьте надёжный пароль со вторым фактором и отложите в сторону.

Ежедневная работа в большинстве установок похожа: смотреть, запускать и останавливать машины, делать снимки, делать резервные копии, обновлять. Менять раскладку хранилища или трогать структуру кластера, это несколько дней в году. Для них root никуда не делся.

Ловушка перехода

Вы переходите на новую запись, что-то не работает, и рефлекс, вернуться к root. На самом деле в этот момент нужно прочитать, какого права не хватило, потому что этот список и есть то, чего требует ваша ежедневная работа. За неделю список успокаивается, и назад вы уже не возвращаетесь.

Что делает Atlas

Atlas не строит собственную систему ролей: он спрашивает у Proxmox, что позволено входящей учётной записи, и из этого строит экран. Уход от root поэтому ничего не отнимает в интерфейсе, он лишь приравнивает ваш охват к действительности. Запись аудита тоже называет учётную запись, отправившую запрос, и для выполненных запросов, и для отклонённых. Если все входят под root, это поле для всех говорит одно и то же; в день, когда вы переходите на отдельные записи, та же запись начинает отвечать.