อนุญาตให้ผู้ใช้ 1“ su - user2” โดยไม่มีรหัสผ่าน

ฉันต้องอนุญาตให้ผู้ใช้martinสลับไปยังผู้ใช้martin-testโดยไม่ต้องใช้รหัสผ่าน

su - martin-test

ฉันคิดว่านี่สามารถกำหนดค่า/etc/pam.d/suได้ มีบางบรรทัดในไฟล์นั้นซึ่งสามารถยกเลิกหมายเหตุได้ แต่ผมไม่ชอบความคิดของการเพิ่มผู้ใช้ไปยังกลุ่มmartin wheelฉันไม่ต้องการที่จะให้martinสิทธิพิเศษใด ๆ martin-testมากกว่าที่จะสามารถที่จะเปลี่ยนไป sudoฉันยังไม่ต้องการที่จะใช้

อะไรจะเป็นวิธีที่ดีที่สุดที่จะทำในขณะที่รักษาสิทธิ์ของผู้ใช้martinน้อยที่สุด?

เพิ่มบรรทัดต่อไปนี้ด้านล่างpam_rootok.soบรรทัดใน/etc/pam.d/su:

auth  [success=ignore default=1] pam_succeed_if.so user = martin-test
auth  sufficient                 pam_succeed_if.so use_uid user = martin

บรรทัดเหล่านี้ทำการตรวจสอบโดยใช้pam_succeed_if.soโมดูล ดูเพิ่มเติมไวยากรณ์ไฟล์การกำหนดค่า Linux-PAMเพื่อเรียนรู้เพิ่มเติมเกี่ยวกับauthบรรทัด

• บรรทัดแรกตรวจสอบว่าผู้ใช้เป้าหมายเป็นmartin-testหรือไม่ หากเป็นเช่นนั้นไม่มีอะไรเกิดขึ้น ( success=ignore) และเรายังคงในบรรทัดถัดไปในการตรวจสอบผู้ใช้ปัจจุบัน หากไม่เป็นเช่นนั้นบรรทัดถัดไปจะถูกข้าม ( default=1) และเราจะดำเนินการตามบรรทัดถัดไปด้วยขั้นตอนการตรวจสอบสิทธิ์ตามปกติ
• martinบรรทัดที่สองจะตรวจสอบว่าผู้ใช้ปัจจุบันคือ หากเป็นเช่นนั้นระบบจะพิจารณากระบวนการตรวจสอบสิทธิ์ว่าเป็นผลสำเร็จและส่งคืน ( sufficient) หากไม่เป็นเช่นนั้นจะไม่มีอะไรเกิดขึ้นและเราจะดำเนินการตามขั้นตอนการรับรองความถูกต้องตามปกติ

คุณสามารถ จำกัดsuกลุ่มได้ที่นี่กลุ่มallowedpeopleสามารถsuไม่มีรหัสผ่าน:

auth sufficient pam_succeed_if.so use_uid user ingroup allowedpeople

หากคุณไม่ต้องการเปลี่ยนกลุ่มหรือใช้sudoให้ใช้โมดูล pam ที่เรียกใช้pam_execเพื่อรันสคริปต์ภายนอกในระยะ pam

เพิ่มบรรทัด/etc/pam.d/suหลังpam_rootok.soบรรทัด:

auth       sufficient pam_exec.so quiet /path/to/script

/path/to/script มีสิทธิ์ 755 (rwxr-xr-x) และเนื้อหาต่อไปนี้:

#!/bin/bash
if [ "$PAM_TYPE" == "auth" ] && \
[ "$PAM_USER" == "martin-test" ] && \
[ "$PAM_RUSER" == "martin" ]; then
  exit 0
else
  exit 1
fi

ดังนั้นสคริปต์นี้จึงมีความสำเร็จถ้าsu:

• ถูกเรียกในบริบทของการพิสูจน์ตัวตน
• ผู้ใช้ที่โทรคือmartinและ
• martin-testผู้ใช้ในการตรวจสอบคือ

ดู:

martin@host:~$ su - martin-test
martin-test@host:~$ exit
martin@host:~$ su - otheruser
Password: ****
otheruser@host:~$ 

หากคุณไม่มีสิทธิ์เข้าถึงบัญชีรูท แต่มีรหัสผ่านของผู้ใช้ที่คุณต้องการใช้เพื่อเรียกใช้คำสั่งคุณสามารถทำสิ่งต่อไปนี้

• นี่จะขอรหัสผ่านของคุณจาก toto: su - toto -c whoami
• สิ่งนี้จะไม่: ssh toto @ localhost whoami

เพียงติดตั้งกุญแจสาธารณะของคุณใน authorized_keys ของ toto

ทางออกที่ง่ายของฉันคือ:

sudo login -f martin-test

หากคุณต้องการหลีกเลี่ยง sudo ที่ค่าใช้จ่ายทั้งหมดฉันคิดว่ามันควรจะเป็นไปได้ที่จะใส่ไว้ในสคริปต์:

1. เป็นเจ้าของโดย root และมีสิทธิ์ใช้งานรูท (ใช้แฟล็ก setuid )
2. ปฏิบัติการโดยทุกคนโดยไม่มี sudo ใด ๆ

อย่างไรก็ตามฉันไม่สามารถหาchown rootและchmod +s ToTest.shบิตเพื่อให้ใช้งานได้จริง:

#!/usr/bin/env bash
echo howdy, I am $(whoami)
sudo login -f martin-test

ฉันยังคงทำงานในฐานะผู้ใช้ปกติของฉันตามที่ echo บอกฉัน และมันยังต้องใช้รหัสผ่าน sudo ถ้ามันทำงานเหมือนรูทหนึ่งสามารถทำได้โดยใช้sudoในบรรทัดสุดท้าย ...