Plik Sudoers, włącz NOPASSWD dla użytkownika, wszystkie polecenia

Przedmowa

Jest to dość złożone pytanie związane z plikiem Sudoers i ogólnie poleceniem sudo.

UWAGA: Wprowadziłem te zmiany na dedykowanym komputerze z systemem Ubuntu Desktop 13.04, którego używam wyłącznie do celów edukacyjnych. Rozumiem, że włączenie NOPASSWD sudo jest ogromnym zagrożeniem dla bezpieczeństwa.

Pytanie

Początkowo moją jedyną zmianą w pliku sudoers (/ etc / sudoers) była jedna linia, specyfikacja użytkownika, która powinna umożliwić „nicholsonjf” uruchamianie wszystkich poleceń za pomocą sudo bez konieczności wprowadzania hasła (patrz wiersz rozpoczynający się od „nicholsonjf” „):

# This file MUST be edited with the 'visudo' command as root.
#
# Please consider adding local content in /etc/sudoers.d/ instead of
# directly modifying this file.
#
# See the man page for details on how to write a sudoers file.
#
Defaults        env_reset
Defaults        mail_badpass
Defaults        secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"

# Host alias specification

# User alias specification

# Cmnd alias specification

# User privilege specification
root    ALL=(ALL:ALL) ALL
nicholsonjf    ALL=NOPASSWD: ALL

# Members of the admin group may gain root privileges
%admin ALL=(ALL) ALL

# Allow members of group sudo to execute any command
%sudo   ALL=(ALL:ALL) ALL

# See sudoers(5) for more information on "#include" directives:

#includedir /etc/sudoers.d

Jednak to nie zadziałało, a za każdym razem, gdy uruchamiałem polecenie jako „nicholsonjf”, wciąż pojawiał się monit o podanie hasła. Mogłem uruchomić polecenia sudo jako „nicholsonjf” dopiero po usunięciu „nicholsonjf” z grup sudo i admin.

Czy ktoś może wyjaśnić, dlaczego to zadziałało?

Czy to dlatego, że użytkownik „nicholsonjf” odziedziczył prawa sudo z dwóch specyfikacji grup „admin” i „sudo” (patrz poniżej w pliku sudoers), które zastępowały specyfikację użytkownika „nicholsonjf”, ponieważ znajdowały się w dalszej części plik konfiguracyjny?

Dodana linia została zastąpiona. Od man sudoers:

Gdy wiele wpisów pasuje do użytkownika, są one stosowane w kolejności. W przypadku wielu dopasowań używana jest ostatnia zgodność (niekoniecznie najbardziej specyficzna).

W twoim przypadku nicholsonjfbył członkiem grupy, sudowięc dla niego ta linia miała zastosowanie:

%sudo   ALL=(ALL:ALL) ALL

Jeśli chcesz zastąpić wpisy, po /etc/sudoersprostu wstaw nowe wpisy po nich.

Nowy wpis powinien wyglądać

myuser ALL=(ALL) NOPASSWD: ALL dla jednego użytkownika lub

%sudo ALL=(ALL) NOPASSWD: ALL dla grupy.

W przypadku pojedynczego użytkownika dodaj ten wiersz na końcu sudoerspliku, używającsudo visudo

superuser ALL=(ALL) NOPASSWD: ALL

Dla grupy

%supergroup  ALL=(ALL) NOPASSWD: ALL

Aby nigdy nie poprosi bieżącego użytkownika o hasło, gdy dany użytkownik korzysta sudozrobić

echo "$USER ALL=(ALL:ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/dont-prompt-$USER-for-password

spowoduje to utworzenie pliku o nazwie /etc/sudoers.d/dont-prompt-<YOUR USERNAME>-for-sudo-passwordi będzie oznaczać, że użytkownik, który uruchomił to polecenie, nie będzie monitowany o podanie hasła podczas wykonywania sudopolecenia. Nadal będziesz monitowany o podanie hasła w innych kontekstach, na przykład podczas instalowania programów z aplikacji graficznej Ubuntu Software .

Zalety robienia tego w ten sposób w porównaniu z dodawaniem wiersza w echopoleceniu do /etc/sudoersużywania sudo visudo(jak sugerują inne odpowiedzi) to:

1. /etc/sudoersjest czasem modyfikowany przez aktualizacje systemu, podczas gdy pliki w nim /etc/sudoers.dnie są
2. sudo visudometoda jest podatna na błąd (jak wynika z tego samego pytania), podczas kopiowania / wklejania polecenia jest znacznie trudniejsze do bałagan

Zgodnie z sudo cat /etc/sudoers.d/READMEtą funkcją (wstawianie dodatkowych plików sudoer /etc/sudoers.d) jest domyślnie włączony od Debiana 1.7.2p1-1, który pojawił się pod koniec lat 90. (Ubuntu jest oparty na Debianie ).

Jak Vince nie wspomniano w komentarzu , można skorzystać z tej linii:

%sudo ALL=NOPASSWD: ALL

(Różni się to od linii pokazanych w tych odpowiedziach i rozwiązało to problem).