Jak stosować sudo?

Próbowałem już skonfigurować sudo, ale nie miałem z tym zbyt wiele szczęścia. Czym się różni su -l -c "x"? Wydaje się, że za pomocą pliku konfiguracyjnego można to zrobić, aby użytkownik miał dostęp tylko do niektórych poleceń i nie tylko. Zawsze uważałem to sudoza sposób na wyłożenie pojedynczego polecenia jako innego użytkownika lub grupy. Ponieważ dystrybucje, takie jak Ubuntu i Mint, ułatwiają przede wszystkim zapewnienie głównemu użytkownikowi łatwego dostępu do rootowania za pomocą hasła, nie jestem do końca pewien, jakie jest jego przeznaczenie.

Jak dodać użytkownika do pliku sudo, dając mu uprawnienia do uruchamiania tylko niektórych poleceń w katalogu głównym? Nie chcę też otwierać żadnych luk w zabezpieczeniach.

W przypadku podstawowej operacji - uruchamiania komend jako root - najbardziej widoczną różnicą między sudo i su jest to, że sudo wymaga hasła użytkownika wywołującego (tj. Hasła), podczas gdy su wymaga hasła użytkownika docelowego (tj. Hasła roota). Wpływ na bezpieczeństwo został obszernie omówiony w poprzednim pytaniu: Jaki jest najbezpieczniejszy sposób uzyskania uprawnień roota: sudo, su lub logowanie? .

Sudo ma dodatkowe funkcje poza su. W szczególności, gdy masz hasło użytkownika, możesz uruchomić dowolne polecenie jako ten użytkownik. Z drugiej strony, sudo można skonfigurować tak, aby wywołujący go użytkownik mógł uruchamiać określone polecenia tylko jako inny użytkownik. Jest to możliwe, ponieważ sudo nie wymaga żadnego uwierzytelnienia (poza być może potwierdzeniem, że jesteś sobą, wpisując hasło - ale to nieznacznie różni się od uwierzytelnienia użytkownika dla zadania).

Zmieniasz konfigurację sudo, uruchamiając visudokomendę jako root (nigdy nie edytuj konfiguracji bezpośrednio). Upewnij się zmienną środowiskową EDITORlub VISUALjest ustawiona na swoim ulubionym edytorze lub może pojawić się nienormalne edytor. sudoersStrona man jest nieco lakoniczny, ale ma przykładów. Aby zezwolić użytkownikowi bobna uruchamianie /bin/foo(z dowolną liczbą argumentów) i /bin/bar --safe(ale bez żadnego innego argumentu) jako root, użyj następujących wierszy:

bob ALL = (root) /bin/foo
bob ALL = (root) /bin/bar --safe

Największą różnicą jest to sudo, że nie potrzebujesz hasła roota, aby uruchomić komendę jako root, tak jak byś to zrobił su. Potrzebujesz hasła roota, aby dodać kogoś do sudoerspliku, ale później ta osoba będzie mogła uruchomić wszystkie lub niektóre (jeśli je ograniczyłeś) jako root bez potrzeby podawania dodatkowego hasła.

Inną różnicą jest, jak zauważyłeś, sudoznacznie lepsza kontrola dokładnie nad tym, jakie polecenia można uruchamiać.

Szczegółowe informacje na temat formatu sudoersuruchomienia pliku man sudoers. Znajdziesz tam przykłady zezwalania na uruchamianie tylko niektórych poleceń jako root. Podstawowa struktura każdej linii to:

user_list host_list = cmd_list

cmd_list może zawierać szczegóły, do którego użytkownika może się przełączać prawdziwy użytkownik. Na przykład możesz zezwolić webmasterowi na przełączenie na wwwroot, aby zrestartować apache, ale nie rootować. Może także zawierać inne opcje, takie jak to, czy hasło użytkownika jest wymagane przed przełączeniem (jest to ustawienie domyślne).

Przykładowa linia może być:

joe  ALL=(ALL) ALL

co oznacza: niech Joe uruchomi dowolne polecenie na dowolnym hoście jako dowolny użytkownik. Węższa linia może być:

joe  ALL=(operator) /usr/local/ops/

co oznacza: niech Joe uruchomi dowolne polecenie w katalogu / usr / local / ops jako użytkownik „operator”.

Na końcu strony podręcznika sudoers znajduje się wiele przykładów.

Powinieneś edytować /etc/sudoersza pomocą polecenia visudo. To sprawdza, czy plik jest legalny i pomaga zapobiec przypadkowemu jego uszkodzeniu.

Oprócz innych odpowiedzi sudo zapewnia funkcje rejestrowania, dzięki czemu możesz śledzić, które polecenia zostały uruchomione i przez kogo. Nie jest to ze względów bezpieczeństwa, ponieważ złośliwy użytkownik, który uzyskuje dostęp do sudo, może wyczyścić dziennik. Bardzo przydatne jest jednak dokładne ustalenie, co ty lub inny administrator zrobiłeś niewyraźnym oczom o 2 nad ranem w zeszłym tygodniu.