Como criar usuários e configurar sudo no seu VPS

Usar a conta root para tudo é arriscado: um comando errado pode danificar o sistema e, se a senha vazar, o invasor tem controle total. A boa prática é trabalhar com usuários comuns e usar o sudo quando precisar de privilégios.

Criando um usuário

Debian/Ubuntu

adduser maria

O comando pede uma senha e dados opcionais.

AlmaLinux/Rocky

adduser maria
passwd maria

Concedendo acesso ao sudo

Debian/Ubuntu (grupo sudo)

usermod -aG sudo maria

AlmaLinux/Rocky (grupo wheel)

usermod -aG wheel maria

Teste:

su - maria
sudo whoami   # deve responder: root

Configurando a chave SSH do novo usuário

No computador da pessoa:

ssh-copy-id maria@SEU_IP

Ou manualmente, no servidor:

sudo mkdir -p /home/maria/.ssh
sudo nano /home/maria/.ssh/authorized_keys   # cole a chave pública
sudo chown -R maria:maria /home/maria/.ssh
sudo chmod 700 /home/maria/.ssh
sudo chmod 600 /home/maria/.ssh/authorized_keys

Permissões personalizadas no sudo

Às vezes, um usuário precisa executar só alguns comandos como root. Nunca edite /etc/sudoers diretamente; use o visudo, que valida a sintaxe:

sudo visudo -f /etc/sudoers.d/deploy

Exemplo: permitir que o usuário deploy reinicie o PHP-FPM e recarregue o Nginx sem senha:

deploy ALL=(root) NOPASSWD: /usr/bin/systemctl restart php8.3-fpm, /usr/bin/systemctl reload nginx

Ajuste os nomes dos serviços à sua versão. Seja específico: evite NOPASSWD: ALL.

Usuários de serviço

Aplicações (Node.js, servidores de jogos, workers) devem rodar com usuários próprios, sem login interativo:

sudo useradd --system --create-home --shell /usr/sbin/nologin app

Assim, se a aplicação for comprometida, o invasor não tem acesso ao sistema inteiro.

Gerenciando usuários

id maria                  # grupos do usuário
sudo passwd -l maria      # bloqueia a senha
sudo usermod -L maria     # bloqueia a conta
sudo deluser maria        # remove (Debian/Ubuntu)
sudo userdel -r maria     # remove com a pasta pessoal (RHEL e outros)

Auditoria

Veja quem usou o sudo:

sudo journalctl _COMM=sudo

E quem acessou o servidor recentemente:

last

Conclusão

Um usuário para cada pessoa, sudo apenas quando necessário e aplicações isoladas em usuários próprios: essas práticas simples reduzem muito os riscos. Coloque-as em prática em um VPS-NVME-BR da VittHost, com acesso root completo.Use o cupom SP-VITT20 e ganhe 20% de desconto na primeira fatura enquanto a promoção estiver ativa.