Fedora 15
Sponsored Link

sudoを設定する2011/05/25

 
当サイトの手順ではこの sudo を使ったコマンド入力はしていませんが、コンプライアンス遵守が求められる昨今では、 企業でのセキュリティ対応は重要です。 root権を安易に多くの人間に開放していると、悪意なくとも人的ミスにより事故が発生することがあります。
sudoを使うことにより、root権限の委譲や権限の分離、rootパスワードの使いまわしを防げる等、 セキュリティを高めることができ、耐監査的にも有効です。
sudoの設定に際してはsuコマンドも制限しておけばよりよいでしょう。 suコマンドの制限は初期設定の[3]の項を参照してください。初期設定の[3]の項の設定により、 「wheel」グループに属するユーザーのみが、suで、rootも含む他ユーザーへの遷移を許可されます。 逆にいうと、その設定をすることで、「wheel」に属さないユーザーは suコマンドで rootのみならず他のどのユーザーにも遷移できなくなります。
なお、sudoは最小構成インストールでもデフォルトで入ってきていますので、新たにインストールする必要はありません。
[1] root権限を特定のユーザーに全て委譲する
[root@dlp ~]#
# 最終行に追記: fedoraはroot権限を全て利用できる

fedora
ALL=(ALL)
ALL
# 書式 ⇒ 委譲先 ホスト=(委譲元) コマンド
# ユーザー「fedora」で動作確認

[fedora@dlp ~]$
/sbin/shutdown -r now

shutdown: Need to be root
# 正常に拒否される

[fedora@dlp ~]$
sudo /sbin/shutdown -r now

Password:
# 自身のパスワード
The system is going down for reboot NOW!  
# 実行できた
[2] [1]の設定に加えて、しかし、特定のコマンドは許可しない。
[root@dlp ~]#
# 適当に49行目あたりに追記: システム停止系のコマンドエイリアス追記

Cmnd_Alias SHUTDOWN = /sbin/halt, /sbin/shutdown, \
/sbin/poweroff, /sbin/reboot, /sbin/init
# [1]の設定部分に追記 ( エイリアス「SHUTDOWN」は許可しない )

fedora
ALL=(ALL)
ALL,
!SHUTDOWN
# ユーザー「fedora」で動作確認

[fedora@dlp ~]$
sudo /sbin/shutdown -r now

Password:
Sorry, user fedora is not allowed to execute '/sbin/shutdown -r now' as root on dlp.srv.world.  
# 拒否された
[3] root権限が必要な特定のコマンドを特定のグループに属するユーザーに委譲する
[root@dlp ~]#
# 適当に51行目あたりに追記: ユーザー管理系のコマンドエイリアス追記

Cmnd_Alias USERMGR = /usr/sbin/useradd, /usr/sbin/userdel, /usr/sbin/usermod, \
/usr/bin/passwd
# 最終行: グループ「usermgr」に属するユーザーに「USERMGR」で定義したコマンド許可設定追記

%usermgr ALL=(ALL) USERMGR
[root@dlp ~]#
groupadd usermgr

[root@dlp ~]#
vi /etc/group
# 所属させるユーザーを追記

usermgr:x:502:
fedora
# ユーザー「fedora」で動作確認

[fedora@dlp ~]$
sudo /usr/sbin/useradd testuser

[fedora@dlp ~]$
# 正常に完了

[fedora@dlp ~]$
sudo /usr/bin/passwd testuser

Changing password for user testuser.
New UNIX password:
# testuserのパスワード設定

Retype new UNIX password:
passwd: all authentication tokens updated successfully.
[4] root権限が必要な特定のコマンドを特定のユーザーに委譲する
[root@dlp ~]#
# 最終行: それぞれのユーザーに特定のコマンドの許可設定追記

fedora
ALL=(ALL) /usr/sbin/visudo

cent
ALL=(ALL) /usr/sbin/useradd, /usr/sbin/userdel, /usr/sbin/usermod, /usr/bin/passwd

ubuntu
ALL=(ALL) /bin/vi
# ユーザー「fedora」で動作確認

[fedora@dlp ~]$
sudo /usr/sbin/visudo
# 正常に開き保存編集もできる

## Sudoers allows particular users to run various commands as
## the root user, without needing the root password.
##
# ユーザー「cent」で動作確認

[cent@dlp ~]$
sudo /usr/sbin/userdel -r testuser

[cent@dlp ~]$
# 正常に完了
# ユーザー「ubuntu」で動作確認

[ubuntu@dlp ~]$
sudo /bin/vi /boot/grub/grub.conf
# 正常に開き保存編集もできる

# grub.conf generated by anaconda
#
# Note that you do not have to rerun grub after making changes to this file
# NOTICE: You have a /boot partition. This means that
[5] デフォルトでは /var/log/secure に sudo の実行ログが残ります。 /var/log/secure には sudo のログのみではないため、sudo のログのみを見たいときは、何かしらする必要があります。
「grep 'sudo' /var/log/secure」でsudoのみ拾って見るのもよいし、または以下のように sudo のログを別ファイルに記録していくようにもできます。
[root@dlp ~]#
# 最終行に追記

Defaults syslog=local1
[root@dlp ~]#
vi /etc/rsyslog.conf
# The authpriv file has restricted access.
local1.*
/var/log/sudo.log
# 45行目: 追記

authpriv.*
/var/log/secure
[root@dlp ~]#
/etc/rc.d/init.d/rsyslog restart

Restarting rsyslog (via systemctl):
[  OK  ]

関連コンテンツ