我是一个只有不到500名用户的组织中的networking和系统pipe理员。 我们有许多Windows服务器，这当然是我的专业领域。
我们也有一小部分Debian服务器。
我们即将终止这些Debian系统的系统pipe理员。
我想知道如何确保以前的pipe理员将来无法控制这些系统，至less在我们雇用替代的linux系统pipe理员之前。
我有物理/虚拟控制台访问每个系统，所以我可以在各种用户模式下重新启动它们。 我只是不知道该怎么做。
请假定我目前没有root权限访问所有这些系统（我现在认识到这是我的一个疏忽）。
我在Linux上有一些经验，每天都在桌面上使用它，但是我必须承认，我是Linux的合格用户 ，而不是系统pipe理员。
我不怕命令行，但是….
有人应该采取哪些步骤来“保护”系统从其他人的一系列步骤？
我再次向你们保证，这是合法的，我应雇主的要求重新控制我的雇主的制度。
我希望不必永久closures系统，而且仍然可以合理地确定它们是安全的。
这个回复主要是为了维护你的IT部门的正常维护。
您的情况举例说明了审计跟踪和适当访问控制的好处。 例如，所有的访问都需要有批准的访问请求票据，无一例外。 终止后，您将审核票务系统。
对于公司内的共同angular色，访问可以标准化，甚至更容易消除。
对于ITangular色，我们有一个电子表格，可以用于终止。 它列出了一切，以防止疏忽。 我们还审核我们的访问请求票据和我们的工作logging系统，因为所有的生产变化都logging在那里。
pipe理员还应该拥有个人用户帐户，用于访问pipe理权限。 根和pipe理帐户不应直接进行身份validation。 虽然这在技术上不是绝对可靠的，但它可以实现审计跟踪以及个人责任。 有了这个，locking他的所有账户将是第一步，然后你改变所有的pipe理员帐户。
如果你还没有，我会鼓励你实施一些这些解决scheme，如果不是全部。 我认为它们是不可或缺的，它可以降低发生非自愿终止的风险。
首先，删除所有外部访问。 任何访问的人可以使用，而不是在前提下。 然后，更改所有密码。 每个pipe理员密码，每个系统密码，每个应用程序密码，每个供应商帐户密码，每个支持帐户密码 – 一切。 如果报复的风险很大，您也可能会过期所有员工的密码。
由于您没有Linux服务器的根密码，您可以在单用户模式下启动并更改它。 有了GRUB和LILO ，你可以简单地追加single 。 方法是相似的。
正如其他人所build议的，审计所有的crontabs（位于/ var / spool / cron），系统用户，运行守护进程，ssh密钥对和系统。
虽然重build是唯一确定的方法，但在大多数情况下不应该是必要的。 任何尊重的专业人员都不会冒这样的风险。 这也可以使你的雇主追求刑事和民事赔偿。 最终，我会build议在执行尽职调查和撤职后，认真讨论您的经理面临的风险。
您可以在单用户模式下重新启动Debian系统并更改root帐户的密码，但是您还必须确保sysadmin有权访问的其他用户不具有SSH访问权限。
任何FTP密码或MySQL密码都应该改变。 您也可以开始检查服务和cron作业，并确保每个正在运行的程序都应该运行。
最安全和最快的路线将备份您的数据并重新安装服务器，但这取决于您是否可以接受由此造成的停机时间。
从/root/.ssh/authorized_keys删除unkonwn ssh密钥，并search其他用户在其authorized_keys文件中是否有未知用户。
基地两个星期离开薪水的根密码！