วิธีการกำหนดค่าไฟล์ sudoers อย่างถูกต้องบน debian wheezy?

ฉันเคยเห็นบล็อกโพสต์มากมายที่บอกว่าเพียงพอที่จะทำ

aptitude install sudo
su root
adduser USERNAME sudo

แต่นั่นก็เป็นเพียงการปกป้องaptitudeในคำอื่น ๆ :

• aptitude install sendmailจะขอรหัสผ่านคุณจะต้อง sudoเรียกใช้aptitude

• apt-get install sendmailจะไม่ขอรหัสผ่านไม่sudoจำเป็นต้องใช้สิทธิ์

• หากคุณแก้ไขไฟล์ที่มีการป้องกันเช่นไฟล์ที่อยู่ในetcนั้นจะไม่ถามรหัสผ่านไม่sudoจำเป็นต้องใช้สิทธิ์

• คุณสามารถเรียกใช้และหยุดบริการเช่นapacheนั้นจะไม่ขอรหัสผ่านไม่sudoจำเป็นต้องใช้สิทธิ์

จะแก้ไขได้อย่างไร? นี่คือไฟล์ sudoers ของฉัน:

 This file MUST be edited with the 'visudo' command as root.
#
# Please consider adding local content in /etc/sudoers.d/ instead of
# directly modifying this file.
#
# See the man page for details on how to write a sudoers file.
#
Defaults        env_reset
Defaults        mail_badpass
Defaults        secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:$

# Host alias specification

# User alias specification

# Cmnd alias specification

นี่คือผลลัพธ์ของsudo -l:

Matching Defaults entries for root on this host:
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin

User root may run the following commands on this host:
    (ALL : ALL) ALL
    (ALL : ALL) ALL

คุณยังไม่ได้เพิ่มกฎ sudo ใด ๆ ดังนั้นคุณจึงไม่สามารถใช้ sudo เพื่ออะไรได้

คำสั่งเพิ่มผู้ใช้ที่ระบุไปยังกลุ่มที่เรียกว่าadduser USERNAME sudo sudoกลุ่มที่มีชื่อนั้นจะต้องมีอยู่ สร้างมันด้วยaddgroup sudoถ้ามันไม่ หลังจากเพิ่มผู้ใช้ในกลุ่มผู้ใช้ต้องออกจากระบบและกลับเข้ามาใหม่เพื่อให้การเป็นสมาชิกกลุ่มมีผล

sudoไม่ใช่ชื่อกลุ่มพิเศษ เป็นแบบแผนเพื่ออนุญาตให้ผู้ใช้ในกลุ่มเรียกsudoใช้คำสั่งเป็นรูตผ่านsudoยูทิลิตี้ ต้องใช้บรรทัดต่อไปนี้ในsudoersไฟล์:

%sudo ALL = (ALL) ALL

เรียกใช้visudoเพื่อแก้ไขไฟล์ sudoers ไม่ต้องแก้ไขโดยตรง

ฉันไม่รู้เลยว่าทำไมคุณถึงเชื่อว่า“ นั่นเป็นเพียงการปกป้องความถนัด” ไม่มีอะไรพิเศษเกี่ยวกับความสามารถ เมื่อคุณอนุญาตให้ผู้ใช้เรียกใช้คำสั่งในฐานะรูทผู้ใช้นั้นสามารถเรียกใช้sudo aptitude …หรือsudo apt-get …หรือsudo service …หรือsudoeditแก้ไขไฟล์ที่ต้องได้รับอนุญาตจากรูทเพื่อแก้ไข การอยู่ในไฟล์ sudoers ไม่ได้เปลี่ยนสิทธิ์ของผู้ใช้ของคุณโดยตรงสิ่งที่ทำคือให้คุณเรียกsudoใช้คำสั่งในฐานะรูท sudoคำสั่งทำงานเป็นรากเฉพาะเมื่อคุณเรียกพวกเขาผ่าน บางโปรแกรมอาจทำโดยอัตโนมัติโดยเฉพาะอย่างยิ่งโปรแกรม GUI ที่ส่วนต่อประสานผู้ใช้ทำงานโดยไม่มีสิทธิ์พิเศษและเฉพาะแบ็คเอนด์เท่านั้นที่ทำงานเป็นรูsudoท

สิ่งที่อาจเกิดขึ้นคือ: sudo กำลังแคชรหัสผ่านของคุณ ดังนั้นหลังจากที่คุณเสร็จสิ้นการดำเนินการอย่างถูกต้อง sudo ในระบบของคุณคุณต้องใส่รหัสผ่านสำหรับครั้งแรกของคำสั่งและหลังจากนั้นก็เก็บไว้ชั่วคราวสำหรับบางเวลา หากเกิดขึ้นและคุณเรียกใช้ลำดับ

sudo aptitude install sendmail
sudo apt-get install sendmail

จากนั้นคุณจะต้องระบุรหัสผ่านสำหรับคำสั่งแรก แต่ไม่ต้องป้อนรหัสที่สอง (อย่างน้อยในขณะที่คุณยังอยู่ในระยะหมดเวลา) นี่อาจรู้สึกว่ามันปกป้องเฉพาะคำสั่งแรก แต่ไม่ใช่คำสั่งที่สอง หากไม่มีข้อมูลเพิ่มเติม (การถอดเสียงเชลล์สมบูรณ์) จะไม่มีทางบอก ...

หากคุณทำตามคำตอบข้างต้นคุณกำลังไปในทางที่ถูกต้อง อย่างน้อยใน Debian Jessie ของฉันฉันได้สร้างลิงค์ไปยัง / usr / bin ของคำสั่งใน path / sbin ตัวอย่างเช่น: / sbin / ifup ฉันใส่ soft link (ln -s) ไปที่ / usr / bin ของมันและฉันสามารถใช้มันได้

อีกสิ่งสำคัญคือการใส่ NOPASSWD เช่นนี้:

User_Alias NET = goviedo
Cmnd_Alias ETH = /sbin/ifup
NET ALL = NOPASSWD:ETH