АДМИНИСТРИРОВАНИЕ
Безопасность и учётные записи
Чёткие роли и явные разрешения для вашего сервера.
Учётные записи и роли
Используйте отдельные учётные записи с ролями Администратор, Оператор или Наблюдатель. API и агент контролируют разрешения. Включите двухфакторную аутентификацию и надёжно сохраните коды восстановления. Администраторы могут сделать двухфакторную аутентификацию обязательной для администраторов или для всех.
Граница привилегий Linux
API работает без прав root. Отдельный агент проверяет поддерживаемые системные операции через типизированный реестр и записывает соответствующие действия в журнал аудита. Терминал и разрешённый доступ к файлам сервера используют связанную учётную запись Linux и её реальные права. При управлении системными операциями также проверяются её права sudo.
Защитите соединение
Используйте Настройки → Безопасность → HTTPS для Tailscale Serve или HTTPS в локальной сети либо настройте собственный обратный прокси. Локальный HTTPS использует центр сертификации EveryOS, которому нужно доверять на каждом устройстве. Сессия администратора управляет реальным сервером, поэтому защищайте её соответствующим образом.
Блокировка, сессии и аудит
Блокируйте рабочий стол, когда отходите. Проверяйте сессии учётной записи и при необходимости отзывайте доступ; блокировка рабочего стола не отзывает выданное разрешение Linux. Обязательную двухфакторную аутентификацию нужно пройти до входа на рабочий стол. Храните коды восстановления вне сервера и используйте журнал аудита для проверки действий, связанных с безопасностью.