sudoを使う2011/04/29 |
| 当サイトの手順ではこの sudo を使ったコマンド入力はしていませんが、セキュリティ対応は重要です。
root権を安易に多くの人間に開放していると、悪意なくとも人的ミスにより事故が発生することがあります。 sudoを使うことにより、root権限の委譲や権限の分離、rootパスワードの使いまわしを防げる等、 セキュリティを高めることができます。 |
|
| [1] | sudo インストール |
|
root@dlp:~# aptitude -y install sudo |
| [2] | root権限を特定のユーザーに全て委譲する |
|
root@dlp:~# # 最終行に追記： narwhalはroot権限を全て利用できる
narwhal ALL=(ALL) ALL
# 書式 ⇒ 委譲先 ホスト=(委譲元) コマンド # visudoを終了するには Ctrl + x # ユーザー「narwhal」で動作確認 narwhal@dlp:~$ /sbin/shutdown -r now shutdown: you must be root to do that! # 正常に拒否される narwhal@dlp:~$ [sudo] password for narwhal: # narwhalのパスワード narwhal@dlp:~$ Broadcast message from root@dlp (pts/0) (Sun Mar 6 02:45:10 2011): The system is going down for reboot NOW! # 実行できた
|
| [2] | [1]の設定に加えて、しかし、特定のコマンドは許可しない。 |
|
root@dlp:~# # システム停止系のコマンドエイリアス追記 # Cmnd alias specification Cmnd_Alias SHUTDOWN = /sbin/halt, /sbin/shutdown, \ /sbin/poweroff, /sbin/reboot, /sbin/init # [1]の設定部分に追記 ( エイリアス「SHUTDOWN」は許可しない ) narwhal ALL=(ALL) ALL, !SHUTDOWN # ユーザー「narwhal」で動作確認 narwhal@dlp:~$ [sudo] password for narwhal: Sorry, user narwhal is not allowed to execute '/sbin/shutdown -r now' as root on dlp.srv.world. # 拒否された
|
| [3] | root権限が必要な特定のコマンドを特定のグループに属するユーザーに委譲する |
|
root@dlp:~# # ユーザー管理系のコマンドエイリアス追記 # Cmnd alias specification Cmnd_Alias USERMGR = /usr/sbin/adduser, /usr/sbin/useradd, /usr/sbin/newusers, \ /usr/sbin/deluser, /usr/sbin/userdel, /usr/sbin/usermod, /usr/bin/passwd # 最終行： グループ「usermgr」に属するユーザーに「USERMGR」で定義したコマンド許可設定追記 %usermgr ALL=(ALL) USERMGR root@dlp:~# groupadd usermgr root@dlp:~# vi /etc/group # 所属させるユーザーを追記 usermgr:x:1002: narwhal # ユーザー「narwhal」で動作確認 narwhal@dlp:~$ narwhal@dlp:~$ # 正常に完了 narwhal@dlp:~$ Enter new UNIX password: # testuserのパスワード設定 Retype new UNIX password: passwd: password updated successfully |
| [4] | root権限が必要な特定のコマンドを特定のユーザーに委譲する |
|
root@dlp:~# # 最終行： それぞれのユーザーに特定のコマンドの許可設定追記
fedora ALL=(ALL) /usr/sbin/visudo cent ALL=(ALL) /usr/sbin/adduser, /usr/sbin/useradd, /usr/sbin/newusers, \ /usr/sbin/deluser, /usr/sbin/userdel, /usr/sbin/usermod, /usr/bin/passwd suse ALL=(ALL) /usr/bin/vim # ユーザー「fedora」で動作確認 fedora@dlp:~$ # 正常に開き保存編集もできる ## Sudoers allows particular users to run various commands as ## the root user, without needing the root password. ## # ユーザー「cent」で動作確認 cent@dlp:~$ cent@dlp:~$ # 正常に完了 # ユーザー「suse」で動作確認 suse@dlp:~$ # 正常に開き保存編集もできる # ~/.profile: executed by Bourne-compatible login shells. |
| [5] | デフォルトでは /var/log/auth.log に sudo の実行ログが残りますが、
/var/log/auth.log には sudo のログのみではないため、sudo のログのみを見たいときは、何かしらする必要があります。 「grep 'sudo' /var/log/auth.log」でsudoのみ拾って見るのもよいし、または以下のように sudo のログを別ファイルに記録していくようにもできます。 |
|
root@dlp:~# # 最終行に追記 Defaults syslog=local1 root@dlp:~# vi /etc/rsyslog.d/50-default.conf # 8行目： 追記 local1.* /var/log/sudo.log auth,authpriv.* /var/log/auth.log *.*;auth,authpriv.none -/var/log/syslog root@dlp:~# service rsyslog restart rsyslog start/running, process 1354 |
| Sponsored Link |