Sudo の設定2015/05/01 |
|
当サイトの手順ではこの sudo を使ったコマンド入力はしていませんが、セキュリティ対応は重要です。
root権を安易に多くの人間に開放していると、悪意なくとも人的ミスにより事故が発生することがあります。
Sudo を利用することにより、root 権限の委譲や権限の分離、root パスワードの使いまわしを防げる等、セキュリティを高めることができます。
|
|
| [1] | Sudo をインストールします。 |
|
root@dlp:~# aptitude -y install sudo |
| [2] | root権限を特定のユーザーに全て委譲する。 |
|
root@dlp:~#
# 最終行に追記： jessieはroot権限を全て利用できる
jessie ALL=(ALL) ALL
# 書式 ⇒ 委譲先 ホスト=(委譲元) コマンド # visudoを終了するには Ctrl + x # ユーザー「jessie」で動作確認 jessie@dlp:~$ /sbin/shutdown -r now shutdown: you must be root to do that! # 正常に拒否される jessie@dlp:~$
[sudo] password for jessie:
jessie@dlp:~$# jessieのパスワード
Broadcast message from root@dlp (pts/0) (Sun May 6 02:45:10 2011):
The system is going down for reboot NOW! # 実行できた
|
| [3] | [1]の設定に加えて、しかし、特定のコマンドは許可しない。 |
|
root@dlp:~#
# システム停止系のコマンドエイリアス追記 # Cmnd alias specification Cmnd_Alias SHUTDOWN = /sbin/halt, /sbin/shutdown, \ /sbin/poweroff, /sbin/reboot, /sbin/init # [1]の設定部分に追記 ( エイリアス「SHUTDOWN」は許可しない )
jessie ALL=(ALL) ALL,
!SHUTDOWN # ユーザー「jessie」で動作確認 jessie@dlp:~$ [sudo] password for jessie: Sorry, user jessie is not allowed to execute '/sbin/shutdown -r now' as root on dlp.srv.world. # 拒否された
|
| [4] | root権限が必要な特定のコマンドを特定のグループに属するユーザーに委譲する。 |
|
root@dlp:~#
# ユーザー管理系のコマンドエイリアス追記 # Cmnd alias specification Cmnd_Alias USERMGR = /usr/sbin/adduser, /usr/sbin/useradd, /usr/sbin/newusers, \ /usr/sbin/deluser, /usr/sbin/userdel, /usr/sbin/usermod, /usr/bin/passwd # 最終行： グループ「usermgr」に属するユーザーに「USERMGR」で定義したコマンド許可設定追記 %usermgr ALL=(ALL) USERMGR groupadd usermgr
root@dlp:~#
vi /etc/group # 所属させるユーザーを追記 usermgr:x:1002: jessie # ユーザー「jessie」で動作確認 jessie@dlp:~$ jessie@dlp:~$ # 正常に完了 jessie@dlp:~$ Enter new UNIX password: # testuserのパスワード設定 Retype new UNIX password: passwd: password updated successfully |
| [5] | root権限が必要な特定のコマンドを特定のユーザーに委譲する。 |
|
root@dlp:~#
# 最終行： それぞれのユーザーに特定のコマンドの許可設定追記
fedora ALL=(ALL) /usr/sbin/visudo
cent ALL=(ALL) /usr/sbin/adduser, /usr/sbin/useradd, /usr/sbin/newusers, \ /usr/sbin/deluser, /usr/sbin/userdel, /usr/sbin/usermod, /usr/bin/passwd suse ALL=(ALL) /usr/bin/vim # 正常に開き保存編集もできる ## Sudoers allows particular users to run various commands as ## the root user, without needing the root password. ## # ユーザー「cent」で動作確認 cent@dlp:~$
cent@dlp:~$
# 正常に完了
# ユーザー「suse」で動作確認 # 正常に開き保存編集もできる # ~/.profile: executed by Bourne-compatible login shells. |
| [6] | デフォルトでは /var/log/auth.log に Sudo の実行ログが残りますが、
/var/log/auth.log には Sudo のログのみではないため、Sudo のログのみを見たいときは工夫が必要になります。 「grep 'sudo' /var/log/auth.log」で Sudo のみ拾って見るのもよいし、または以下のように Sudo のログを別ファイルに記録することもできます。 |
|
root@dlp:~#
# 最終行に追記 Defaults syslog=local1
root@dlp:~#
vi /etc/rsyslog.conf # 61行目： 追記 local1.* /var/log/sudo.log auth,authpriv.* /var/log/auth.log # 追記 *.*; local1, auth,authpriv.none -/var/log/syslog
systemctl restart rsyslog |
| Sponsored Link |
|
|