sudoを使う2010/07/18 |
| 当サイトの手順ではこの sudo を使ったコマンド入力はしていませんが、コンプライアンス遵守が求められる昨今では、
企業でのセキュリティ対応は重要です。
root権を安易に多くの人間に開放していると、悪意なくとも人的ミスにより事故が発生することがあります。 sudoを使うことにより、root権限の委譲や権限の分離、rootパスワードの使いまわしを防げる等、 セキュリティを高めることができます。監査の際は sudo 経由強制、rootはリモートログイン禁止、suからの遷移禁止、 入退室管理を厳重に行っているマシンルーム内でのコンソールからのみのログイン許可、くらいにしておけば、そうそうケチはつけられないでしょう。 他のよりよいアクセスコントロールソフトを導入するのであれば sudo は必要ないでしょうが、 そのようなソフトは導入にも運用にも相当のコストがかかることが見込まれるため、あまりコストをかけず、且つ手っ取り早く導入できるのはこの sudo でしょう。 よって、サーバー構築初期の段階で、職責分離のポリシーに従って sudo を設定しておくべきです。 |
|
| [1] | root権限を特定のユーザーに全て委譲する |
|
root@ubuntu:~# # 最終行に追記： lucidはroot権限を全て利用できる
lucid ALL=(ALL) ALL
# 書式 ⇒ 委譲先 ホスト=(委譲元) コマンド # visudoを終了するには Ctrl + x # ユーザー「lucid」で動作確認 lucid@ubuntu:~$ /sbin/shutdown -r now shutdown: Need to be root # 正常に拒否される lucid@ubuntu:~$ [sudo] password for lucid: # lucidのパスワード lucid@ubuntu:~$ Broadcast message from lucid (/dev/pts/0) at 15:27 ... The system is going down for reboot NOW! # 実行できた
|
| [2] | [1]の設定に加えて、しかし、特定のコマンドは許可しない。 |
|
root@ubuntu:~# # システム停止系のコマンドエイリアス追記 # Cmnd alias specification Cmnd_Alias SHUTDOWN = /sbin/halt, /sbin/shutdown, \ /sbin/poweroff, /sbin/reboot, /sbin/init # [1]の設定部分に追記 ( エイリアス「SHUTDOWN」は許可しない ) lucid ALL=(ALL) ALL, !SHUTDOWN # ユーザー「lucid」で動作確認 lucid@ubuntu:~$ [sudo] password for lucid: Sorry, user lucid is not allowed to execute '/sbin/shutdown -r now' as root on ubuntu.srv.world. # 拒否された
|
| [3] | root権限が必要な特定のコマンドを特定のグループに属するユーザーに委譲する |
|
root@ubuntu:~# # ユーザー管理系のコマンドエイリアス追記 # Cmnd alias specification Cmnd_Alias USERMGR = /usr/sbin/adduser, /usr/sbin/useradd, /usr/sbin/newusers, \ /usr/sbin/deluser, /usr/sbin/userdel, /usr/sbin/usermod, /usr/bin/passwd # 最終行： グループ「usermgr」に属するユーザーに「USERMGR」で定義したコマンド許可設定追記 %usermgr ALL=(ALL) USERMGR root@ubuntu:~# groupadd usermgr root@ubuntu:~# vi /etc/group # 所属させるユーザーを追記 usermgr:x:1002: fedora # ユーザー「fedora」で動作確認 fedora@ubuntu:~$ fedora@ubuntu:~$ # 正常に完了 fedora@ubuntu:~$ Enter new UNIX password: # testuserのパスワード設定 Retype new UNIX password: passwd: password updated successfully |
| [4] | root権限が必要な特定のコマンドを特定のユーザーに委譲する |
|
root@ubuntu:~# # 最終行： それぞれのユーザーに特定のコマンドの許可設定追記
fedora ALL=(ALL) /usr/sbin/visudo cent ALL=(ALL) /usr/sbin/adduser, /usr/sbin/useradd, /usr/sbin/newusers, \ /usr/sbin/deluser, /usr/sbin/userdel, /usr/sbin/usermod, /usr/bin/passwd suse ALL=(ALL) /usr/bin/vim # ユーザー「fedora」で動作確認 fedora@ubuntu:~$ # 正常に開き保存編集もできる ## Sudoers allows particular users to run various commands as ## the root user, without needing the root password. ## # ユーザー「cent」で動作確認 cent@ubuntu:~$ cent@ubuntu:~$ # 正常に完了 # ユーザー「suse」で動作確認 suse@ubuntu:~$ # 正常に開き保存編集もできる # ~/.profile: executed by Bourne-compatible login shells. |
| [5] | デフォルトでは /var/log/auth.log に sudo の実行ログが残りますが、
/var/log/auth.log には sudo のログのみではないため、sudo のログのみを見たいときは、何かしらする必要があります。 「grep 'sudo' /var/log/auth.log」でsudoのみ拾って見るのもよいし、または以下のように sudo のログを別ファイルに記録していくようにもできます。 |
|
root@ubuntu:~# # 最終行に追記 Defaults syslog=local1 root@ubuntu:~# vi /etc/rsyslog.d/50-default.conf # 8行目： 追記 local1.* /var/log/sudo.log auth,authpriv.* /var/log/auth.log *.*;auth,authpriv.none -/var/log/syslog root@ubuntu:~# service rsyslog restart rsyslog start/running, process 1384 |
| Sponsored Link |
|
|