初期設定 : Sudo を設定する2014/07/08 |
|
当サイトの手順ではこの Sudo を使ったコマンド入力はしていませんが、コンプライアンス遵守が求められる昨今では企業でのセキュリティ対応は重要です。
root 権限を安易に多くの人間に開放していると、悪意なくとも人的ミスにより事故が発生することがあります。
組織内でサーバー運用する際は root 権限の分離をするためにも、Sudo の利用は必須と言えるでしょう。
なお、Sudo は最少構成の [Minimal Install] でもデフォルトでインストールされるため、追加インストールする必要はありません。
|
|
| [1] | root権限を特定のユーザーに全て委譲する。 |
|
[root@dlp ~]#
# 最終行に追記： centはroot権限を全て利用できる cent ALL=(ALL) ALL # 書式 ⇒ 委譲先 ホスト=(委譲元) コマンド
# ユーザー [cent] で動作確認 [cent@dlp ~]$ /usr/bin/cat /etc/shadow cat: /etc/shadow: Permission denied # 正常に拒否される
[sudo] password for cent: # 自身のパスワード daemon:*:16231:0:99999:7::: adm:*:16231:0:99999:7::: lp:*:16231:0:99999:7::: ... ... # 実行できた
|
| [2] | [1]の設定に加えて、ただし特定のコマンドは許可しない。 |
|
[root@dlp ~]#
# 49行目あたりに追記： システム停止系のコマンドエイリアス追記
Cmnd_Alias SHUTDOWN = /sbin/halt, /sbin/shutdown, \
/sbin/poweroff, /sbin/reboot, /sbin/init
# [1]の設定部分に追記 ( エイリアス [SHUTDOWN] は許可しない ) cent ALL=(ALL) ALL, !SHUTDOWN
# ユーザー [cent] で動作確認 [cent@dlp ~]$ Sorry, user cent is not allowed to execute '/sbin/shutdown -r now' as root on dlp.srv.world. # 拒否された
|
| [3] | root権限が必要な特定のコマンドを特定のグループに属するユーザーに委譲する。 |
|
[root@dlp ~]#
# 51行目あたりに追記： ユーザー管理系のコマンドエイリアス追記
Cmnd_Alias USERMGR = /usr/sbin/useradd, /usr/sbin/userdel, /usr/sbin/usermod, \
/usr/bin/passwd
# 最終行： グループ [usermgr] に属するユーザーに [USERMGR] で定義したコマンド許可設定追記 %usermgr ALL=(ALL) USERMGR
# ユーザー [cent] で動作確認 [cent@dlp ~]$ [cent@dlp ~]$ # 正常に完了 [cent@dlp ~]$ Changing password for user testuser. New UNIX password: # testuserのパスワード設定 Retype new UNIX password: passwd: all authentication tokens updated successfully. |
| [4] | root権限が必要な特定のコマンドを特定のユーザーに委譲する。 |
|
[root@dlp ~]#
# 最終行： それぞれのユーザーに特定のコマンドの許可設定追記 cent ALL=(ALL) /usr/sbin/visudo fedora ALL=(ALL) /usr/sbin/useradd, /usr/sbin/userdel, /usr/sbin/usermod, /usr/bin/passwd ubuntu ALL=(ALL) /bin/vi # ユーザー [cent] で動作確認 # 正常に開き保存編集もできる ## Sudoers allows particular users to run various commands as ## the root user, without needing the root password. ## # ユーザー [fedora] で動作確認 [fedora@dlp ~]$
[fedora@dlp ~]$
# 正常に完了
# ユーザー [ubuntu] で動作確認 # 正常に開き保存編集もできる # grub.conf generated by anaconda # # Note that you do not have to rerun grub after making changes to this file # NOTICE: You have a /boot partition. This means that |
| [5] | デフォルトでは /var/log/secure に sudo の実行ログが残りますが、sudo のログを別ファイルに記録したい場合は以下のように設定します。 |
|
[root@dlp ~]#
# 最終行に追記 Defaults syslog=local1
[root@dlp ~]#
vi /etc/rsyslog.conf # 54行目： 追記 *.info;mail.none;authpriv.none;cron.none ;local1.none /var/log/messages
# 上行に続けて追記 local1.* /var/log/sudo.log systemctl restart rsyslog |
| Sponsored Link |