sudoを使う2010/05/25 |
| 当サイトの手順ではこの sudo を使ったコマンド入力はしていませんが、コンプライアンス遵守が求められる昨今では、
企業でのセキュリティ対応は重要です。
root権を安易に多くの人間に開放していると、悪意なくとも人的ミスにより事故が発生することがあります。 sudoを使うことにより、root権限の委譲や権限の分離、rootパスワードの使いまわしを防げる等、 セキュリティを高めることができます。監査の際は sudo 経由強制、rootはリモートログイン禁止、suからの遷移禁止、 入退室管理を厳重に行っているマシンルーム内でのコンソールからのみのログイン許可、くらいにしておけば、そうそうケチはつけられないでしょう。 他のよりよいアクセスコントロールソフトを導入するのであれば sudo は必要ないでしょうが、 そのようなソフトは導入にも運用にも相当のコストがかかることが見込まれるため、あまりコストをかけず、且つ手っ取り早く導入できるのはこの sudo でしょう。 よって、サーバー構築初期の段階で、職責分離のポリシーに従って sudo を設定しておくべきです。 suコマンドの制限は初期設定の[3]の項を参照してください。初期設定の[3]の項の設定により、 「wheel」グループに属するユーザーのみが、suで、rootも含む他ユーザーへの遷移を許可されます。 逆にいうと、その設定をすることで、「wheel」に属さないユーザーは suコマンドで rootのみならず他のどのユーザーにも遷移できなくなります。 なお、sudoは最小構成インストールでもデフォルトで入ってきていますので、新たにインストールする必要はありません。 |
|
| [1] | root権限を特定のユーザーに全て委譲する |
|
[root@dlp ~]# # 最終行に追記： fedoraはroot権限を全て利用できる
fedora ALL=(ALL) ALL
# 書式 ⇒ 委譲先 ホスト=(委譲元) コマンド # ユーザー「fedora」で動作確認 [fedora@dlp ~]$ /sbin/shutdown -r now shutdown: you must be root to do that! # 正常に拒否される [fedora@dlp ~]$ Password: # 自身のパスワード The system is going down for reboot NOW! # 実行できた
|
| [2] | [1]の設定に加えて、しかし、特定のコマンドは許可しない。 |
|
[root@dlp ~]# # 49行目あたり： システム停止系のコマンドエイリアス追記 Cmnd_Alias SHUTDOWN = /sbin/halt, /sbin/shutdown, \ /sbin/poweroff, /sbin/reboot, /sbin/init # [1]の設定部分に追記 ( エイリアス「SHUTDOWN」,「SOFTWARE」は許可しない ) # ※「SOFTWARE」はデフォルトで定義してある fedora ALL=(ALL) ALL, !SHUTDOWN, !SOFTWARE # ユーザー「fedora」で動作確認 [fedora@dlp ~]$ Password: Sorry, user fedora is not allowed to execute '/sbin/shutdown -r now' as root on dlp.server-world.info. # 拒否された [fedora@dlp ~]$ Password: Sorry, user fedora is not allowed to execute '/usr/bin/yum update' as root on dlp.server-world.info. # 拒否された
|
| [3] | root権限が必要な特定のコマンドを特定のグループに属するユーザーに委譲する |
|
[root@dlp ~]# # 51行目あたり： ユーザー管理系のコマンドエイリアス追記 Cmnd_Alias USERMGR = /usr/sbin/useradd, /usr/sbin/userdel, /usr/sbin/usermod, \ /usr/bin/passwd # 最終行： グループ「usermgr」に属するユーザーに「USERMGR」で定義したコマンド許可設定追記 %usermgr ALL=(ALL) USERMGR [root@dlp ~]# groupadd usermgr [root@dlp ~]# vi /etc/group # 所属させるユーザーを追記 usermgr:x:502: fedora # ユーザー「fedora」で動作確認 [fedora@dlp ~]$ [fedora@dlp ~]$ # 正常に完了 [fedora@dlp ~]$ Changing password for user testuser. New UNIX password: # testuserのパスワード設定 Retype new UNIX password: passwd: all authentication tokens updated successfully. |
| [4] | root権限が必要な特定のコマンドを特定のユーザーに委譲する |
|
[root@dlp ~]# # 最終行： それぞれのユーザーに特定のコマンドの許可設定追記
fedora ALL=(ALL) /usr/sbin/visudo cent ALL=(ALL) /usr/sbin/useradd, /usr/sbin/userdel, /usr/sbin/usermod, /usr/bin/passwd suse ALL=(ALL) /bin/vi # ユーザー「fedora」で動作確認 [fedora@dlp ~]$ # 正常に開き保存編集もできる ## Sudoers allows particular users to run various commands as ## the root user, without needing the root password. ## # ユーザー「cent」で動作確認 [cent@dlp ~]$ [cent@dlp ~]$ # 正常に完了 # ユーザー「suse」で動作確認 [suse@dlp ~]$ # 正常に開き保存編集もできる # grub.conf generated by anaconda # # Note that you do not have to rerun grub after making changes to this file # NOTICE: You have a /boot partition. This means that |
| [5] | デフォルトでは /var/log/secure に sudo の実行ログが残ります。
/var/log/secure には sudo のログのみではないため、sudo のログのみを見たいときは、何かしらする必要があります。 「grep 'sudo' /var/log/secure」でsudoのみ拾って見るのもよいし、または以下のように sudo のログを別ファイルに記録していくようにもできます。 |
|
[root@dlp ~]# # 最終行に追記 Defaults syslog=local1 [root@dlp ~]# cp /etc/rsyslog.conf /etc/rsyslog.conf.bk [root@dlp ~]# vi /etc/rsyslog.conf # The authpriv file has restricted access. local1.* /var/log/sudo.log # 42行目： 追記 authpriv.* /var/log/secure [root@dlp ~]# /etc/rc.d/init.d/rsyslog restart Shutting down system logger: [ OK ] Starting system logger: [ OK ] |
| Sponsored Link |