Pozwól użytkownikowi 1 na „su - użytkownik2” bez hasła

Muszę umożliwić użytkownikowi martinprzejście na użytkownika martin-testbez hasła

su - martin-test

Myślę, że można to skonfigurować /etc/pam.d/su. W tym pliku jest już kilka wierszy, które można odkomentować. Jednak nie podoba mi się pomysł dodania użytkownika martindo grupy wheel. Nie chcę dawać martinwięcej przywilejów niż możliwość zmiany martin-test. Ja też nie chcę używać sudo.

Jaki byłby najlepszy sposób na to, przy jednoczesnym utrzymaniu martinminimalnych uprawnień użytkownika ?

Dodaj następujące linie bezpośrednio pod pam_rootok.solinią w swoim /etc/pam.d/su:

auth  [success=ignore default=1] pam_succeed_if.so user = martin-test
auth  sufficient                 pam_succeed_if.so use_uid user = martin

Linie te wykonują kontrole za pomocą pam_succeed_if.somodułu. Zobacz także składnię pliku konfiguracyjnego Linux-PAM, aby dowiedzieć się więcej o authliniach.

• Pierwszy wiersz sprawdza, czy jest to użytkownik docelowymartin-test . Jeśli tak, nic się nie dzieje ( success=ignore) i kontynuujemy w następnym wierszu, aby sprawdzić bieżącego użytkownika . Jeśli tak nie jest, następny wiersz zostanie pominięty ( default=1) i kontynuujemy w kolejnych wierszach ze zwykłymi krokami uwierzytelnienia.
• Druga linia sprawdza, czy bieżącym użytkownikiem jest martin. Jeśli tak, system uznaje proces uwierzytelnienia za udany i zwraca ( sufficient). Jeśli tak nie jest, nic się nie dzieje i kontynuujemy kolejne linie ze zwykłymi krokami uwierzytelnienia.

Możesz również ograniczyć się sudo grupy, tutaj grupa allowedpeoplemoże subez hasła:

auth sufficient pam_succeed_if.so use_uid user ingroup allowedpeople

Jeśli nie chcesz zmieniać grup ani używać sudo, użyj modułu pam wywoływanego pam_execdo wykonywania zewnętrznych skryptów na etapie pam.

Dodaj wiersz /etc/pam.d/supo swoim pam_rootok.sowierszu:

auth       sufficient pam_exec.so quiet /path/to/script

/path/to/script ma uprawnienia 755 (rwxr-xr-x) i następującą treść:

#!/bin/bash
if [ "$PAM_TYPE" == "auth" ] && \
[ "$PAM_USER" == "martin-test" ] && \
[ "$PAM_RUSER" == "martin" ]; then
  exit 0
else
  exit 1
fi

Ten skrypt istnieje z powodzeniem, jeśli su:

• jest wywoływany w kontekście uwierzytelnienia,
• użytkownik dzwoniący to martini
• użytkownik do uwierzytelnienia to martin-test.

Widzieć:

martin@host:~$ su - martin-test
martin-test@host:~$ exit
martin@host:~$ su - otheruser
Password: ****
otheruser@host:~$ 

Jeśli nie masz dostępu do konta root, ale masz hasło użytkownika, którego chcesz użyć do uruchomienia polecenia, możesz wykonać następujące czynności.

• Spowoduje to podanie hasła do toto: su - toto -c whoami
• To nie będzie: ssh toto @ localhost whoami

Po prostu zainstaluj swój klucz publiczny w uprawnionych kluczach toto

Moje proste rozwiązanie to:

sudo login -f martin-test

Jeśli chcesz uniknąć sudo za wszelką cenę, myślę, że powinno być możliwe umieszczenie tego w skrypcie:

1. należy do roota i ma uprawnienia roota (używając flagi setuid )
2. wykonywalny przez wszystkich, również bez sudo.

Jednak nie mogę rozgryźć chown rooti chmod +s ToTest.shbitów, aby to faktycznie działało:

#!/usr/bin/env bash
echo howdy, I am $(whoami)
sudo login -f martin-test

Nadal działam jako mój normalny użytkownik, jak mówi mi echo. I nadal wymaga hasła sudo. Gdyby działał jako root, można by zerwać z sudoostatnim wierszem ...