Sudo の設定2015/11/21 |
|
root 権限の委譲や権限の分離、root パスワードの使いまわし防止のため Sudo を設定しておきます。
なお、Sudo は最小構成インストールでもデフォルトでインストールされるので、新たにインストールする必要はありません。
|
|
| [1] | SUSE Linux の場合、デフォルトの設定が sudo 利用時に root パスワードの入力を求められるようになっているため、実行者自身のパスワードで認証できるよう設定を変更します。 |
|
dlp:~ #
# 63,64行目：コメント化 # Defaults targetpw# ALL ALL=(ALL) ALL
|
| [2] | root権限を特定のユーザーに全て委譲する。 |
|
dlp:~ #
# 最終行に追記： suseはroot権限を全て利用できる suse ALL=(ALL) ALL # 書式 ⇒ 委譲先 ホスト=(委譲元) コマンド # ユーザー「suse」で動作確認 suse@dlp:~> /bin/cat /etc/shadow /bin/cat: /etc/shadow: Permission denied # 正常に拒否される
suse's password:
...# 自身のパスワード
... uucp:*:16357:::::: wwwrun:*:16357:::::: # 実行できた
|
| [3] | [1]の設定に加えて、しかし、特定のコマンドは許可しない。 |
|
dlp:~ #
# 30行目あたりに追記： システム停止系のコマンドエイリアス追記 Cmnd_Alias SHUTDOWN = /sbin/halt, /sbin/shutdown, \ /sbin/poweroff, /sbin/reboot, /sbin/init # [1]の設定部分に追記 ( エイリアス「SHUTDOWN」は許可しない ) suse ALL=(ALL) ALL, !SHUTDOWN
# ユーザー「suse」で動作確認 suse@dlp:~> Password: Sorry, user suse is not allowed to execute '/sbin/shutdown -r now' as root on dlp. # 拒否された
|
| [4] | root 権限が必要な特定のコマンドを特定のグループに属するユーザーに委譲する。 |
|
dlp:~ #
# 30行目あたりに追記： ユーザー管理系のコマンドエイリアス追記 Cmnd_Alias USERMGR = /usr/sbin/useradd, /usr/sbin/userdel, /usr/sbin/usermod, \ /usr/bin/passwd # 最終行： グループ「usermgr」に属するユーザーに「USERMGR」で定義したコマンド許可設定追記 %usermgr ALL=(ALL) USERMGR # ユーザー「suse」で動作確認 suse@dlp:~> sudo /usr/sbin/useradd testuser suse@dlp:~> # 正常に完了 suse@dlp:~> sudo /usr/bin/passwd testuser Changing password for user testuser. New UNIX password: # testuserのパスワード設定 Retype new UNIX password: passwd: all authentication tokens updated successfully. |
| [5] | root 権限が必要な特定のコマンドを特定のユーザーに委譲する。 |
|
dlp:~ #
# 最終行： それぞれのユーザーに特定のコマンドの許可設定追記 suse ALL=(ALL) /usr/sbin/visudo cent ALL=(ALL) /usr/sbin/useradd, /usr/sbin/userdel, /usr/sbin/usermod, /usr/sbin/passwd ubuntu ALL=(ALL) /usr/bin/vi # ユーザー「suse」で動作確認 # 正常に開き保存編集もできる ## Sudoers allows particular users to run various commands as ## the root user, without needing the root password. ## # ユーザー「cent」で動作確認 cent@dlp:~>
cent@dlp:~>
# 正常に完了 # ユーザー「ubuntu」で動作確認 # 正常に開き保存編集もできる # grub.conf generated by anaconda # # Note that you do not have to rerun grub after making changes to this file # NOTICE: You have a /boot partition. This means that |
| [6] | デフォルトでは /var/log/secure に sudo の実行ログが残りますが、sudo のログを別ファイルに記録したい場合は以下のように設定します。 |
|
dlp:~ #
# 最終行に追記
Defaults syslog=local1
dlp:~ #
vi /etc/rsyslog.conf # 160行目：追記
*.*;mail.none;news.none;local1.none -/var/log/messages
# 172行目：「local1」を削除 local0.* -/var/log/localmessages # 最終行に追記 local1.* /var/log/sudo.log systemctl restart rsyslog |
| Sponsored Link |