Keine echten Admin-Rechte für cronjobs? Ratlos...

[Gregor Samsa]

Hallo zusammen,

ich brauche mal wieder einen schlauen Tipp bzw. eine Aufklärung.

Ich habe heute ein Widget installiert, welches mir anzeigen soll wann das letzte Mal die cronjobs ausgeführt wurden. Tut es auch. Dabei ist daily etwa einen Monat schon her und weekly und monthly wurden angeblich noch gar nicht ausgeführt.

Über das Widget selbst konnte ich die Scripts nicht ausführen, weil mein Admin-Passwort nicht angenommen wurde. Dabei war es egal, ob ich für meinen Admin-Account überhaupt ein Passwort festgelegt habe oder ich diesen ohne Passwort betrieben habe. Beides funktionierte nicht. Also habe ich es direkt über das Terminal mit dem Befehl "sudo periodic daily weekly monthly" versucht. Auch hier das erste Mal über meinen normalen Account ohne Admin-Rechte und als das nicht funktionierte danach über meinen Admin-Account. Hier funktionierte es erst nachdem ich für den Account ein Passwort festgelegt habe. Im Widget wurde danach allerdings noch immer das Gleiche angezeigt. Also daily einen Monat her, weekly und monthly noch gar nicht.

Falls es von Bedeutung ist: Das Widget habe ich in meinem normalen Account ohne Admin-Rechte installiert.

Jetzt zu meiner zentralen Frage: Warum ist das mit den Admin-Rechten so verquer bzw. warum funktionieren viele Dinge, die Admin-Rechte benötigen, erst direkt über den Admin-Account? Normalerweise kann man sich doch auch in einem Account ohne Admin-Rechte "identifizieren" und wieso braucht der Admin-Account oft ein Passwort? Ist es sinnvoller dem Admin auch ein Passwort zuzuweisen?

 

[salome]

Ob das Widget was taugt? Schau mal in die Konsole (Dienstprogramme) links findest du daily.out" , "monthly.out" und weiter unten "weekly.out" . Was steht da?
User Accounts ohne Passwort funktionieren in vielen Fällen gar nicht. ich hab das auch ausprobiert, weil auf meinen Mac niemand Zugriff hat, aber da will das Terminal keinen Befehl annehmen.
Das Passwort dient einerseits dazu, "gewöhnliche" User davon abzuhalten, Software zu installieren oder ins System einzugreifen. Bist du als ein solcher eingeloggt, musst du z. B. bei einer Installation Admin.Name und Passwort eingeben. Auch beim verschieben von schreibgeschützten Dateien wird zur Sicherheit das Passwort verlangt. Der Administrator hat eben mehr Rechte als der gewöhnliche User.
Dass selbst der durch die Passwortabfrage noch Mal Zeit zum Nachdenken bekommt, ob er wirklich weiß, was er tut, ist eine Schutzmaßnahme.
Angenommen du lässt deinen Mac offen herum stehen, einer geht vorbei, öffnet das Terminal und darf ohne Passwort grundlegende Veränderungen vornehmen. Das wäre doch teuflisch. Aber weil er (hoffentlich) dein PW nicht kennt, kann er nichts Schlimmeres anstellen,als den Mac auszuschalten.
Die Goldenen Äpfel können dir sicher noch mehr sagen.
Salome
Edit: Übrigens habe ich gerade gelesen (in der Konsole), dass meine täglichen Cronjobs ganz von selbst erledigt werden, gestern zum Beispiel, gleich nachdem das MBP aus dem Deep Sleep geholt habe.

 

[MacApple]

Ich habe heute ein Widget installiert, welches mir anzeigen soll wann das letzte Mal die cronjobs ausgeführt wurden. Tut es auch. Dabei ist daily etwa einen Monat schon her und weekly und monthly wurden angeblich noch gar nicht ausgeführt.

Lass mich raten, Du schaltest Deinen Rechner über Nacht aus.

Jetzt zu meiner zentralen Frage: Warum ist das mit den Admin-Rechten so verquer bzw. warum funktionieren viele Dinge, die Admin-Rechte benötigen, erst direkt über den Admin-Account?

Weil einige Dinge mehr Rechte benötigen, als der Admin hat, also root-Rechte. Die kann nur ein Admin per sudo temporär bekommen. Ein normaler User eben nicht.

Normalerweise kann man sich doch auch in einem Account ohne Admin-Rechte "identifizieren" und wieso braucht der Admin-Account oft ein Passwort?

Der Admin darf eben auch nicht alles. Zum Beispiel darf der auch nicht im /System Verzeichnis schreiben.

Ist es sinnvoller dem Admin auch ein Passwort zuzuweisen?

Ach was, Passwörter werden total überschätzt.

MacApple

 

[salome]

Lass mich raten, Du schaltest Deinen Rechner über Nacht aus.

Das ist wurscht, auch im Ruhezustand können die Cronjobs nicht erledigt werden. Der Mac schläft!
Aber wie gesagt, gleich wenn man ihn wieder weckt (hoch fährt) arbeitet er ganz brav.

Ach was, Passwörter werden total überschätzt

Ja, nicht wegen des Schutzes vor Dieben oder Spionen, sondern weil das System so eingerichtet ist, brauchst ein Passwort.
Wie schon gesagt, ohne Passwort zu arbeiten, bringt mancherlei Probleme mit sich und irgendwann merkt du, dass du mit einem Passwort (ich habe ein ganz kurzes) besser fährst.
Jetzt hab ich noch einen (durch irgend ein komisches Thermometer gestörten) Screenshot vom vorletzten daily.out


Salome

 

[Gregor Samsa]

Also:

Daily out sieht ähnlich aus wie das von dir gepostete Bild. Die vorletzte Ausführung war allerdings wirklich im August und die letzte Ausführung die vor ein paar Stunden von mir manuell ausgeführte. Da stimmt also irgendwas nicht.

Weekly out zeigt nur das:

Rebuilding whatis database:

-- End of weekly output --

Und monthly out das:

Rotating fax log files:

Doing login accounting:
total 1053.50
...
...
...
...
...
...

-- End of monthly output --

(Die Punkte wurden von mir aus Anonymitätsgründen hinzugefügt.)

Weekly und Monthly wurden dabei tatsächlich heute das erste Mal ausgeführt. Merkwürdig...

 

[MacApple]

Das ist wurscht, auch im Ruhezustand können die Cronjobs nicht erledigt werden. Der Mac schläft!
Aber wie gesagt, gleich wenn man ihn wieder weckt (hoch fährt) arbeitet er ganz brav.

Ich habe vom Ausschalten gesprochen, nicht vom Schlafen. Zwei verschiedene Dinge, die unterschiedliche Auswirkungen auf die periodischen Jobs haben.

Ja, nicht wegen des Schutzes vor Dieben oder Spionen, sondern weil das System so eingerichtet ist, brauchst ein Passwort.
Wie schon gesagt, ohne Passwort zu arbeiten, bringt mancherlei Probleme mit sich und irgendwann merkt du, dass du mit einem Passwort (ich habe ein ganz kurzes) besser fährst.

Der Smiley sollte andeuten, dass meine Aussage ironisch gemeint ist.

MacApple

 

[Gregor Samsa]

@MacApple: Hast du vllt. auch eine Idee warum die Cronjobs weekly und monthly noch gar nicht ausgeführt wurden? In der Regel schalte ich meinen Mac über Nacht aus, aber seitdem ich ihn habe war er natürlich auch schon mehrmals über Nacht angeschaltet.

Generell noch eine Frage: Bekommt man mit dem Befehl sudo Admin- oder Root-Rechte?
...
Frage geklärt... Root.

 

[salome]

Ich habe vom Ausschalten gesprochen, nicht vom Schlafen. Zwei verschiedene Dinge, die unterschiedliche Auswirkungen auf die periodischen Jobs haben.

Und ich habe gesagt: Weder im ausgeschalteten noch im Ruhezustand werden die Jobs ausgeführt.
Daher hielt ich die Frage für obsolet. Aber vielleicht steckt etwas dahinter, das ich nicht verstehe.
Oh, die Ironie habe ich wirklich nicht verstanden. Weil ja auch Gregor Samsa meint, dass das (oder fragt, ob das) Passwort überflüssig sei.
ich dachte ja auch früher. Mac steht im Tresor, niemand kann ran, wozu PW?

 

[MacApple]

@MacApple: Hast du vllt. auch eine Idee warum die Cronjobs weekly und monthly noch gar nicht ausgeführt wurden? In der Regel schalte ich meinen Mac über Nacht aus, aber seitdem ich ihn habe war er natürlich auch schon mehrmals über Nacht angeschaltet.

Dann war der Rechner wohl nur in Nächten an, wo weder weekly noch monthly Jobs dran waren.

MacApple

 

[MacApple]

Und ich habe gesagt: Weder im ausgeschalteten noch im Ruhezustand werden die Jobs ausgeführt.
Daher hielt ich die Frage für obsolet. Aber vielleicht steckt etwas dahinter, das ich nicht verstehe.

Ja, dahinter steckt, dass Jobs, die im Ruhezustand verpasst wurden, nachgeholt werden, wenn der Rechner wieder wach ist.

MacApple

 

[salome]

Wenn du den Mac über Nacht ausschaltest, erledigt er, wie ich sehen kann, seine Jobs eben bei Tag, gleich nach dem Einschalten.
Weekly ist anscheinend wirklich nicht viel zu tun

at Sep 11 10:23:05 CEST 2010
Rebuilding whatis database:
-- End of weekly output --
Sat Sep 18 14:55:42 CEST 2010
Rebuilding whatis database:
-- End of weekly output --

Monatlich ist schon zu lang her, wird bei mir nicht angezeigt.
Salome
edit:

Ja, dahinter steckt, dass Jobs, die im Ruhezustand verpasst wurden, nachgeholt werden, wenn der Rechner wieder wach ist.

Na sag ich doch die ganze Zeit. Wir sind uns offensichtlich ohnehin einig. Wenn der Mac natürlich drei Wochen ausgeschaltet ist, macht er drei Wochen lang nichts.

 

[Rastafari]

Jetzt zu meiner zentralen Frage: Warum ist das mit den Admin-Rechten so verquer

Weil dieses Widget ganz offenkundig nicht die empfohlene Methode zur Erlangung höherer Privilegien verwendet, sondern den sehr viel primitiver auszuführenden, aber technisch eigentlich längst total veralteten Weg über ein Shellskript und "sudo".
Diesen Weg "durch den Seiteneingang" können nur Administratoren benutzen.

Das Widget solltest du sofort kicken, diese anachronistische Methode ist für Dashboard Widgets ein *absolutes* No-Go.
Aber da du ja allen Ernstes fragst ob du deinem Admin tatsächlich ein Kennwort geben solltest, ist dir offenbar sowieso alles völlig egal. Wozu du deinen Rechner da noch periodisch aufgeräumt bekommen möchtest, kapiere ich irgendwie nicht so ganz. Wenn ich auf einer Handgranate mit bereits abgezogenem Stift sitzen würde, hätte ich definitiv andere Sorgen als zu kontrollieren, ob an meinem Hemdkragen noch ein paar Lippenstiftreste von der letzten Weihnachtsfeier zu sehen sind. Da bin ich mir ziemlich sicher.

 

[salome]

Wenn einer aber nicht weiß, wie eine Handgranate aussieht und was sie anrichten kann, dann fragt er halt hier.

 

[Gregor Samsa]

@Rastafari: Die Frage nach dem Passwort für den Admin bezog sich eher auf den praktischen Nutzen was das Ausführen von Programmen und eben Befehlen im Terminal angeht. Augenscheinlich funktionieren manche Befehle ja ohne Passwort gar nicht. Darauf bezog ich mich.

Ich bin mir natürlich bewusst, dass über den Admin-Account viel kaputt gehen kann bzw. Schaden angerichtet werden kann, wenn dieser nicht richtig abgesichert ist. Da ich meinen Mac aber momentan nur zuhause im privaten Bereich nutze, hatte ich für den Admin kein Passwort vergeben, da die Identifikation, z.B. beim Verschieben von Dateien, aufgrund weniger Tastatureingabe einfach schneller geht.
Aus ähnlichen Sicherheitsgründen bin ich nebenbei ja auch im regelmässigen Betrieb mit einem normalen Benutzer-Account ohne Admin-Rechte unterwegs!

Sobald ich den Mac aber demnächst im öffentlichen Umfeld nutze, werde ich natürlich sichere Passwörter vergeben. Solange aber außer mir keiner physischen Zugriff hat, sollte es doch aber kein Problem sein, oder? Dumm gefragt...

 

[MacApple]

Na sag ich doch die ganze Zeit. Wir sind uns offensichtlich ohnehin einig.

Wir sind uns nicht einig, wenn Du der Meinung bist, dass die periodischen Jobs immer nachgeholt werden. Egal ob der Rechner aus dem Ruhezustand aufgeweckt wird oder ob er eingeschaltet (gebootet) wird. Um es noch mal eindeutig zu sagen:

- Aufwecken des Rechners aus dem Ruhezustand: verpasste Jobs werden nachgeholt.
- Einschalten (Booten) des Rechners: verpasste Jobs werden nicht nachgeholt.

MacApple

 

[Rastafari]

Augenscheinlich funktionieren manche Befehle ja ohne Passwort gar nicht.

Völlig korrekt.
Und wenn beim OS X Server der Admin die Sicherheitsschraube etwas fester zudreht, dann wird nicht nur "irgendein", sondern ein tatsächlich "sicheres" Kennwort nach strengen Regeln verlangt. (zB mindestens 8 Zeichen, muss Gross und Kleinbuchstaben sowie Ziffern enthalten...)
Die Standardkonfiguration ist (in aktuellen Versionen leider wieder) superlax eingestellt und warnt dich bestenfalls vor der Verwendung total nutzloser "Kurzpassworte", oder bei viel zu simplen Phrasen, die sich in jeder gängigen Wortliste finden - und die daher in Windeseile nach dem Prinzip der "brutalen Gewalt" durch einfaches systematisches durchprobieren zu knacken sind.

Aus ähnlichen Sicherheitsgründen bin ich nebenbei ja auch im regelmässigen Betrieb mit einem normalen Benutzer-Account ohne Admin-Rechte unterwegs

Ist der (besser: einer der) Admin(s) nicht brauchbar abgesichert und du hast irgendwelche "kritischen" Netzdienste am laufen (wie zB die "entfernte Anmeldung" oder "Screen Sharing"), dann kannst du dir diese Zusatzaktion mit dem eingeschränkten Konto gleich komplett schenken. Dann lernst du sicher recht bald den Grund kennen, warum man ein Unix zu den "Multiuser"-Systemen zählt. Dann hat deine Kiste nämlich ratzfatz einen parasitären "Mitbesitzer", völlig egal womit du dich selbst fürs tägliche Brot anmeldest.

Solange aber außer mir keiner physischen Zugriff hat...

Jein. Ein Feature zu viel eingeschaltet, und der Unterschied zwischen "physischem" und "entferntem" Zugriff hört faktisch auf zu existieren.
Internet 2010 ist ein gefährliches Pflaster zum Barfuss drin rumlaufen.

 

[salome]

@MacAplle: o. K.