初期設定 : Sudo の設定2019/01/14

	root 権限の委譲や権限の分離、root パスワードの使いまわし防止のため Sudo を設定しておきます。なお、Sudo は最小構成インストールでもデフォルトでインストールされるので、新たにインストールする必要はありません。
[1]	SUSE Linux の場合、デフォルトの設定が sudo 利用時に root パスワードの入力を求められるようになっているため、実行者自身のパスワードで認証できるよう設定を変更します。

dlp:~ #

visudo

# 68,69行目：コメント化

##Defaults targetpw
##ALL   ALL=(ALL) ALL

[2]	root 権限を特定のユーザーに全て委譲する。

dlp:~ #

visudo

# 最終行に追記： suseはroot権限を全て利用できる

suse ALL=(ALL) ALL

# 書式 ⇒ 委譲先ホスト=(委譲元) コマンド

# ユーザー [suse] で動作確認

suse@dlp:~>

/bin/cat /etc/shadow

/bin/cat: /etc/shadow: Permission denied

# 正常に拒否される

suse@dlp:~>

sudo /bin/cat /etc/shadow

suse's password:

# 自身のパスワード

...
...
uucp:*:16357::::::
wwwrun:*:16357::::::

# 実行できた

[3]	[1] の設定に加えて、しかし、特定のコマンドは許可しない。

dlp:~ #

visudo

# 31行目あたりに追記：システム停止系のコマンドエイリアス追記

Cmnd_Alias SHUTDOWN = /sbin/halt, /sbin/shutdown, \
/sbin/poweroff, /sbin/reboot, /sbin/init, /usr/bin/systemctl

# [1] の設定部分に追記 (エイリアス [SHUTDOW] は許可しない)

suse ALL=(ALL) ALL,

!SHUTDOWN

# ユーザー [suse] で動作確認

suse@dlp:~>

sudo /sbin/shutdown -r now

Password:
Sorry, user suse is not allowed to execute '/sbin/shutdown -r now' as root on dlp.

# 拒否された

[4]	root 権限が必要な特定のコマンドを特定のグループに属するユーザーに委譲する。

dlp:~ #

visudo

# 30行目あたりに追記：ユーザー管理系のコマンドエイリアス追記

Cmnd_Alias USERMGR = /usr/sbin/useradd, /usr/sbin/userdel, /usr/sbin/usermod, \
/usr/bin/passwd

# 最終行：グループ [usermgr] に属するユーザーに [USERMGR] で定義したコマンド許可設定追記

%usermgr ALL=(ALL) USERMGR

dlp:~ #

groupadd usermgr

dlp:~ #

usermod -G usermgr suse

# ユーザー [suse] で動作確認

suse@dlp:~>

sudo /usr/sbin/useradd testuser

suse@dlp:~>

# 正常に完了

suse@dlp:~>

sudo /usr/bin/passwd testuser

Changing password for user testuser.
New UNIX password:

# testuserのパスワード設定

Retype new UNIX password:
passwd: all authentication tokens updated successfully.

[5]	root 権限が必要な特定のコマンドを特定のユーザーに委譲する。

dlp:~ #

visudo

# 最終行：それぞれのユーザーに特定のコマンドの許可設定追記

suse    ALL=(ALL)  /usr/sbin/visudo
cent    ALL=(ALL)  /usr/sbin/useradd, /usr/sbin/userdel, /usr/sbin/usermod, /usr/sbin/passwd
ubuntu  ALL=(ALL)  /usr/bin/vi

# ユーザー [suse] で動作確認

suse@dlp:~>

sudo /sbin/visudo

# 正常に開き保存編集もできる

## Sudoers allows particular users to run various commands as
## the root user, without needing the root password.
##

# ユーザー [cent] で動作確認

cent@dlp:~>

sudo /sbin/userdel -r testuser

cent@dlp:~>

# 正常に完了

# ユーザー [ubuntu] で動作確認

ubuntu@dlp:~>

sudo /bin/vi /boot/grub2/grub.cfg

# 正常に開き保存編集もできる

# grub.conf generated by anaconda
#
# Note that you do not have to rerun grub after making changes to this file
# NOTICE: You have a /boot partition. This means that

[6]	デフォルトでは /var/log/messages に sudo の実行ログが残りますが、sudo のログを別ファイルに記録したい場合は以下のように設定します。

dlp:~ #

visudo

# 最終行に追記

Defaults syslog=local1

dlp:~ #

vi /etc/rsyslog.conf

# 168行目：追記

*.*;mail.none;news.none;local1.none     -/var/log/messages

# 180行目：[local1] を削除

local0.*                      -/var/log/localmessages

# 最終行に追記

local1.*                       -/var/log/sudo.log

dlp:~ #

systemctl restart rsyslog