sudoを設定する2011/05/25 |
|
当サイトの手順ではこの sudo を使ったコマンド入力はしていませんが、コンプライアンス遵守が求められる昨今では、
企業でのセキュリティ対応は重要です。
root権を安易に多くの人間に開放していると、悪意なくとも人的ミスにより事故が発生することがあります。
sudoを使うことにより、root権限の委譲や権限の分離、rootパスワードの使いまわしを防げる等、
セキュリティを高めることができ、耐監査的にも有効です。
sudoの設定に際してはsuコマンドも制限しておけばよりよいでしょう。
suコマンドの制限は初期設定の[3]の項を参照してください。初期設定の[3]の項の設定により、
「wheel」グループに属するユーザーのみが、suで、rootも含む他ユーザーへの遷移を許可されます。
逆にいうと、その設定をすることで、「wheel」に属さないユーザーは suコマンドで rootのみならず他のどのユーザーにも遷移できなくなります。
なお、sudoは最小構成インストールでもデフォルトで入ってきていますので、新たにインストールする必要はありません。
|
|
| [1] | root権限を特定のユーザーに全て委譲する |
|
[root@dlp ~]#
# 最終行に追記： fedoraはroot権限を全て利用できる
fedora ALL=(ALL) ALL
# 書式 ⇒ 委譲先 ホスト=(委譲元) コマンド # ユーザー「fedora」で動作確認 [fedora@dlp ~]$ /sbin/shutdown -r now shutdown: Need to be root # 正常に拒否される [fedora@dlp ~]$ Password:
The system is going down for reboot NOW! # 自身のパスワード # 実行できた
|
| [2] | [1]の設定に加えて、しかし、特定のコマンドは許可しない。 |
|
[root@dlp ~]#
# 適当に49行目あたりに追記： システム停止系のコマンドエイリアス追記 Cmnd_Alias SHUTDOWN = /sbin/halt, /sbin/shutdown, \ /sbin/poweroff, /sbin/reboot, /sbin/init # [1]の設定部分に追記 ( エイリアス「SHUTDOWN」は許可しない ) fedora ALL=(ALL) ALL, !SHUTDOWN # ユーザー「fedora」で動作確認 [fedora@dlp ~]$ Password: Sorry, user fedora is not allowed to execute '/sbin/shutdown -r now' as root on dlp.srv.world. # 拒否された
|
| [3] | root権限が必要な特定のコマンドを特定のグループに属するユーザーに委譲する |
|
[root@dlp ~]#
# 適当に51行目あたりに追記： ユーザー管理系のコマンドエイリアス追記 Cmnd_Alias USERMGR = /usr/sbin/useradd, /usr/sbin/userdel, /usr/sbin/usermod, \ /usr/bin/passwd # 最終行： グループ「usermgr」に属するユーザーに「USERMGR」で定義したコマンド許可設定追記 %usermgr ALL=(ALL) USERMGR groupadd usermgr
[root@dlp ~]#
vi /etc/group # 所属させるユーザーを追記 usermgr:x:502: fedora # ユーザー「fedora」で動作確認 [fedora@dlp ~]$ [fedora@dlp ~]$ # 正常に完了 [fedora@dlp ~]$ Changing password for user testuser. New UNIX password: # testuserのパスワード設定 Retype new UNIX password: passwd: all authentication tokens updated successfully. |
| [4] | root権限が必要な特定のコマンドを特定のユーザーに委譲する |
|
[root@dlp ~]#
# 最終行： それぞれのユーザーに特定のコマンドの許可設定追記
fedora ALL=(ALL) /usr/sbin/visudo cent ALL=(ALL) /usr/sbin/useradd, /usr/sbin/userdel, /usr/sbin/usermod, /usr/bin/passwd ubuntu ALL=(ALL) /bin/vi # ユーザー「fedora」で動作確認 # 正常に開き保存編集もできる ## Sudoers allows particular users to run various commands as ## the root user, without needing the root password. ## # ユーザー「cent」で動作確認 [cent@dlp ~]$
[cent@dlp ~]$
# 正常に完了 # ユーザー「ubuntu」で動作確認 # 正常に開き保存編集もできる # grub.conf generated by anaconda # # Note that you do not have to rerun grub after making changes to this file # NOTICE: You have a /boot partition. This means that |
| [5] | デフォルトでは /var/log/secure に sudo の実行ログが残ります。
/var/log/secure には sudo のログのみではないため、sudo のログのみを見たいときは、何かしらする必要があります。 「grep 'sudo' /var/log/secure」でsudoのみ拾って見るのもよいし、または以下のように sudo のログを別ファイルに記録していくようにもできます。 |
|
[root@dlp ~]#
# 最終行に追記 Defaults syslog=local1
[root@dlp ~]#
vi /etc/rsyslog.conf
# The authpriv file has restricted access.
[root@dlp ~]# local1.* /var/log/sudo.log # 45行目： 追記 authpriv.* /var/log/secure /etc/rc.d/init.d/rsyslog restart Restarting rsyslog (via systemctl): [ OK ] |
| Sponsored Link |