Sudo を使う2015/04/24 |
|
当サイトの手順ではこの sudo を使ったコマンド入力の表示にはしていませんが、セキュリティ対応は重要です。
root権を安易に多くの人間に開放していると、悪意なくとも人的ミスにより事故が発生することがあります。
sudoを使うことにより、root権限の委譲や権限の分離、rootパスワードの使いまわしを防げる等、
セキュリティを高めることができます。
|
|
| [1] | Sudo をインストールします。 |
|
root@dlp:~# apt-get -y install sudo |
| [2] | root権限を特定のユーザーに全て委譲する |
|
root@dlp:~#
# 最終行に追記： vervetはroot権限を全て利用できる vervet ALL=(ALL:ALL) ALL # 書式 ⇒ 委譲先 ホスト=(委譲元) コマンド # visudoを終了するには Ctrl + x # ユーザー「vervet」で動作確認 vervet@dlp:~$ /sbin/shutdown -r now shutdown: Need to be root # 正常に拒否される vervet@dlp:~$
[sudo] password for vervet:
# vervetのパスワード
Broadcast message from root@dlp
(/dev/pts/0) at 17:33 ...
The system is going down for reboot NOW! # 実行できた
|
| [3] | [1]の設定に加えて、しかし、特定のコマンドは許可しない。 |
|
root@dlp:~#
# システム停止系のコマンドエイリアス追記 # Cmnd alias specification Cmnd_Alias SHUTDOWN = /sbin/halt, /sbin/shutdown, \ /sbin/poweroff, /sbin/reboot, /sbin/init # [1]の設定部分に追記 ( エイリアス「SHUTDOWN」は許可しない )
vervet ALL=(ALL) ALL,
!SHUTDOWN
# ユーザー「vervet」で動作確認 vervet@dlp:~$ [sudo] password for vervet: Sorry, user vervet is not allowed to execute '/sbin/shutdown -r now' as root on dlp.srv.world. # 拒否された
|
| [4] | root権限が必要な特定のコマンドを特定のグループに属するユーザーに委譲する |
|
root@dlp:~#
# ユーザー管理系のコマンドエイリアス追記 # Cmnd alias specification Cmnd_Alias USERMGR = /usr/sbin/adduser, /usr/sbin/useradd, /usr/sbin/newusers, \ /usr/sbin/deluser, /usr/sbin/userdel, /usr/sbin/usermod, /usr/bin/passwd # 最終行： グループ「usermgr」に属するユーザーに「USERMGR」で定義したコマンド許可設定追記 %usermgr ALL=(ALL) USERMGR groupadd usermgr
root@dlp:~#
vi /etc/group # 所属させるユーザーを追記 usermgr:x:1002: vervet # ユーザー「vervet」で動作確認 vervet@dlp:~$ vervet@dlp:~$ # 正常に完了 vervet@dlp:~$ Enter new UNIX password: # testuserのパスワード設定 Retype new UNIX password: passwd: password updated successfully |
| [5] | root権限が必要な特定のコマンドを特定のユーザーに委譲する |
|
root@dlp:~#
# 最終行： それぞれのユーザーに特定のコマンドの許可設定追記
fedora ALL=(ALL) /usr/sbin/visudo
cent ALL=(ALL) /usr/sbin/adduser, /usr/sbin/useradd, /usr/sbin/newusers, \ /usr/sbin/deluser, /usr/sbin/userdel, /usr/sbin/usermod, /usr/bin/passwd suse ALL=(ALL) /usr/bin/vim # 正常に開き保存編集もできる ## Sudoers allows particular users to run various commands as ## the root user, without needing the root password. ## # ユーザー「cent」で動作確認 cent@dlp:~$
cent@dlp:~$
# 正常に完了
# ユーザー「suse」で動作確認 # 正常に開き保存編集もできる # ~/.profile: executed by Bourne-compatible login shells. |
| [6] | デフォルトでは /var/log/auth.log に sudo の実行ログが残りますが、
/var/log/auth.log には sudo のログのみではないため、sudo のログのみを見たいときは、工夫が必要になります。 「grep 'sudo' /var/log/auth.log」でsudoのみ拾って見るのもよいし、または以下のように sudo のログを別ファイルに記録することもできます。 |
|
root@dlp:~#
# 最終行に追記 Defaults syslog=local1
root@dlp:~#
vi /etc/rsyslog.d/50-default.conf # 8行目： 追記 local1.* /var/log/sudo.log auth,authpriv.* /var/log/auth.log *.*;auth,authpriv.none -/var/log/syslogroot@dlp:~# systemctl restart rsyslog |
| Sponsored Link |