tommytnt, это похоже на паранойю. Да, реализовать в linux можно почти всё что угодно. Однако, по-моему, почти всё, что вам надо, уже реализовано.
1) Любой пользователь может подключить флэшку только к своему домашнему каталогу, и получить доступ с другой учётки к этой флэшке просто так уже не получиться даже у админа (ему придётся делать лишние телодвижения). Но и второй пользователь не получит доступа к чужим флэшкам.
2) Системные каталоги возможно и можно просмотреть, но даже админ не может их изменить не воспользовавшись sudo. Не админу же sudo вообще не доступно.
3) Вы, видимо, не поняли, в чём смысл учётки "гость". А смысл именно в том, что через эту учёту вообще ничего нельзя кардинально поменять. Права там очень ограничены: доступа к sudo нет, доступа к данным нормальных учёток нет, даже доступ к "общим" данным, доступным "для всех" по-умолчанию перекрыт и для доступа гостя права на эти папки должны быть специально изменены на "777". Даже рабочий стол, история браузера и т.д. при выходе из гостевой учётки обнуляются и возвращаются к дефолтному состоянию. В принципе, "гостевая учётка" - это то, что вам нужно. Не надо её отключать, надо ею пользоваться.
И так, вышеперечисленное уже работает и реализует как минимум половину того, что вам нужно. Теперь о дополнительной настройке.
1.Единственным неудобным моментом раньше было, что второй пользователь мог через Nautulus зайти в домашний каталог первого и просмотреть там файлы, но не мог их открыть и изменить. Этот вопрос решался просто: Nautulus открывался с правами Суперпользователя, и на "Домашний каталог" по правой клавиши мыши в "Свойствах" немного ужесточались права - просмотр (и вообще, любой доступ) ставился только для его владельца.
2. Права на доступ к устройствам, например, сканеру, CD-приводу и т.д. ограничиваются через управление группами. Ищите информацию в нашей wiki. Смысл в том, что каждый пользователь может входить в несколько групп, а каждая группа может содержать несколько пользователей. Права на устройства обычно назначены группам, и если пользователь не входит в эту группу, то и прав на пользование устройством у него нет. Кстати, таким же способом можно и второго пользователя сделать админом, включив его в группы sudo и adm.
3. За доступ в интернете "только туда куда можно" - не скажу, не делал. Но, насколько я понимаю, это делается настройками файрвола. Впрочем, ещё можно посмотреть в сторону расширений браузеров: среди них бывают подобные - класса "родительский доступ". Но эту информацию надо проверять, я тут не заморачивался.
Ну и в главных. Ещё раз, не вижу смысла блокировать второму полноценному (!) пользователю возможность подключения флэшек. Никакой заразы он на компьютер не принесёт (linux - неуловимый Джо), я если и принесёт (о чудо!) - запустить не сможет - нет у него таких прав изначально. Выкачать информацию с помощью live-режима не выйдет, так как вы уже заблокировали доступ к BIOS, да и к настройкам пользователя в системе это не относиться. Остальное решается через права доступа к каталогам других пользователей и через настройку групп. Ну а если вы так не доверяете "второму пользователю", то удалите его учётку и пусть будет "гостем" - уж там-то ему система не даст развернуться.
Тема: Права на монтирование разделов (Прочитано 1661 раз)
