Používatelia a sudo namiesto root

Ako vytvoriť pracovného používateľa, dať mu sudo, presunúť SSH kľúče a prestať sa prihlasovať na server ako root.

Aktualizované 23. augusta 2026

Stroj prichádza s plným root prístupom a tvoj prvý inštinkt je pokračovať v práci ako root. To je pohodlné presne dovtedy, kým neurobíš prvú preklep v rm -rf. Funkčné nastavenie je iné: bežný používateľ na každodenné úlohy, root cez sudo a len vtedy, keď ho naozaj potrebuješ.

Vytvor používateľa

Debian a Ubuntu:

adduser artem
usermod -aG sudo artem

AlmaLinux a CentOS Stream:

adduser artem
passwd artem
usermod -aG wheel artem

Skupina sa líši: sudo v rodine Debian, wheel v rodine RHEL. Skontroluj práva:

sudo -l -U artem

Presuň SSH kľúče

Kľúče pridané v karte „Prístup“ v paneli /hosting/vds/m/<id> skončia u používateľa root. Pre nového používateľa ich musíš umiestniť sám:

mkdir -p /home/artem/.ssh
cp /root/.ssh/authorized_keys /home/artem/.ssh/
chown -R artem:artem /home/artem/.ssh
chmod 700 /home/artem/.ssh
chmod 600 /home/artem/.ssh/authorized_keys

Práva tu nie sú formalita: ak sú príliš voľné, sshd kľúč ticho odmietne.

V samostatnom terminálovom okne si over, že sa vieš prihlásiť ako nový používateľ, bez zatvorenia toho aktuálneho:

ssh artem@<address>
sudo whoami

Až po úspešnej kontrole prejdi na vypnutie prihlásenia roota.

Ako používať sudo

sudo systemctl restart nginx
sudo -i
sudo -u www-data ls /var/www

sudo -i ti dá plný root shell — na sériu príkazov, nie na trvalú prácu. Každé volanie sudo sa zapisuje do logu a to je tvoja stopa pri vyšetrovaní incidentu:

journalctl -t sudo -n 50
grep sudo /var/log/auth.log

Viac o logoch — kto sa prihlásil na stroj.

Práva pre služby

Ďalšia častá chyba je spúšťať aplikáciu ako root, „aby to fungovalo“. Pre každú službu vytvor systémového používateľa bez shellu:

useradd --system --no-create-home --shell /usr/sbin/nologin appsrv
chown -R appsrv:appsrv /opt/app

Potom diera v aplikácii neodovzdá útočníkovi rovno celý stroj.

Časté chyby

Chyba	Príčina	Riešenie
`artem is not in the sudoers file`	Nie je v skupine alebo sa znovu neprihlásil	`usermod -aG sudo artem`, prihlás sa znovu
Kľúč sa neprijíma	Práva na `.ssh` sú širšie než 700 alebo vlastníkom je root	`chown` a `chmod` ako vyššie
sudo heslo nefunguje	Používateľ nemá nastavené heslo	`passwd artem`
Úprava sudoers pokazila sudo	Syntaktická chyba v súbore	Iba `visudo`; oprava cez rescue režim

/etc/sudoers upravuj výhradne príkazom visudo — pred uložením skontroluje syntax. Pokazený súbor vezme sudo všetkým naraz.