Memberi akses seperangkat perintah ke pengguna non-root tanpa sudo

Saya ingin memberikan akses non-sudo ke pengguna non-root di komputer saya, ada pengguna dns-manager, satu-satunya perannya adalah menjalankan semua perintah BIND (rndc, dnssec-keygen) dll.

Sekarang setiap kali dia harus menjalankan perintah, dia mengetik,

sudo rndc reload

Apakah ada cara saya bisa menghilangkan sudo ini, tetapi hanya pada seperangkat perintah tertentu (dan hanya untuk dns-manager)?

Jika saya memahami komentar Anda dengan benar, masalah di sini adalah bahwa perintah akan dikeluarkan melalui koneksi yang tidak memiliki kemampuan untuk memasukkan kata sandi yang sudo default untuk meminta. Juga, dalam banyak distribusi OS, sudo akan default untuk memerlukan TTY - yang mungkin tidak dimiliki oleh program ini.

Namun, sudo dapat memiliki struktur izin yang sangat halus, memungkinkan untuk memungkinkan satu atau lebih pengguna untuk mengeluarkan satu perintah tertentu tanpa kata sandi dan TTY. Di bawah ini, saya akan menunjukkan tiga cara untuk mengkonfigurasi ini untuk kebutuhan Anda. Apa pun yang Anda pilih, pengguna sekarang dapat mengeluarkan perintah sudo rndc reloadtanpa harus memasukkan kata sandi.

(Juga, ini mungkin tidak perlu, tapi ... harap ingat untuk membuat salinan cadangan file sudoers Anda sebelum mengeditnya, untuk menyimpan shell di tempat Anda root terbuka jika Anda perlu kembali ke cadangan, dan untuk mengedit menggunakan visudoalih-alih sudo vi /etc/sudoers. Mudah-mudahan tindakan pencegahan ini tidak perlu, tapi ... lebih baik memilikinya dan tidak membutuhkannya daripada sebaliknya!)

1. Jika Anda tidak ingin meminta TTY untuk permintaan apa pun

Cara termudah untuk menyingkirkan persyaratan TTY (jika ada) adalah memastikan bahwa baris yang dimulai dengan Defaultsdi /etc/sudoerstidak mengandung kata requiretty- sebaliknya, seharusnya berisi !requiretty. Namun, jika Anda melakukan ini, itu berarti bahwa tidak ada perintah sudo yang membutuhkan tty!

Anda juga perlu menambahkan baris

rndcuser ALL = (root) NOPASSWD: /path/to/rndc reload, /path/to/dnssec-keygen, /path/to/other/program

2. Jika Anda ingin meminta TTY untuk semua pengguna kecuali yang ini

Ini dapat dilakukan dengan menetapkan default untuk pengguna yang satu ini, seperti ini:

Defaults:rndcuser        !requiretty
rndcuser ALL = (root) NOPASSWD: /path/to/rndc reload, /path/to/dnssec-keygen, /path/to/other/program

3. Jika Anda ingin mengirim kembali TTY untuk semua perintah kecuali perintah yang satu ini oleh pengguna yang satu ini

Ini sedikit lebih rumit, karena sintaks dari file sudoers. Anda harus membuat alias alias untuk perintah, dan kemudian menetapkan default untuk alias perintah itu, seperti:

Cmnd_Alias RNDC_CMD = /path/to/rndc reload, /path/to/dnssec-keygen, /path/to/other/program
Defaults!RNDC_CMD !requiretty
rndcuser ALL = (root) NOPASSWD: RNDC_CMD

Iya. sudo dapat dikonfigurasi dengan sangat fleksibel. Meski begitu, saya harus menyebutkan: jenis-jenis solusi ini tidak boleh dianggap sangat aman, dan mereka hanya boleh digunakan dalam lingkungan kerja sama di mana kontrol lain berada di tempat (dengan demikian, Anda dapat memberikan hak istimewa yang ditingkatkan ini kepada bawahan setia Anda, tetapi seharusnya tidak melakukannya untuk pelanggan yang Anda tahu hanya dari internet).

Konfigurasi sudo ada di /etc/sudoers di sebagian besar sistem. Anda dapat mengetahui sintaksnya dengan Googling atau dengan man sudoperintah.

Anda tidak boleh mengedit file ini secara langsung; hal itu dapat menyebabkan kondisi perlombaan keamanan. Sebagai gantinya, gunakanvisudo perintah (yang merupakan pembungkus $EDITORvariabel lingkungan Anda ).

Setelah Anda mengkonfigurasi sudo, Anda dapat dengan mudah membungkus ini di sekitar perintah yang terlihat. Ini sangat sederhana:

1. Buat direktori untuk daftar skrip sudo wrapper Anda (fe /usr/local/dnsadmin/bin )

2. Buat skrip wrapper untuk perintah yang Anda inginkan agar dapat digunakan tanpa sudo. Ini akan menjadi perintah yang sangat sederhana, misalnya, /usr/local/dnsadmin/bin/rndcakan menjadi:

   #!/bin/bash exec /usr/bin/sudo /usr/sbin/rndc "$@"

3. Dapatkan direktori ini ke PATHvariabel lingkungan mereka (mis. Oleh sistem-lebar atau lokal mereka .profile).

Meskipun ini bukan solusi umum dalam kasus spesifik rndcAnda tidak perlu sudosama sekali.

rndcdapat berkomunikasi dengan namedproses apa pun baik melalui soket lokal atau port jarak jauh, menggunakan kunci rahasia untuk mengotentikasi dirinya sendiri. Secara default (atau setidaknya, untuk debian, yang merupakan distro yang saya gunakan) file ini dapat ditemukan di /etc/bind/rndc.keydan biasanya hanya dapat dibaca oleh pengguna binddan grupbind .

Siapa pun yang memiliki akses baca ke file kunci itu (atau salinannya yang identik) dapat digunakan rndcuntuk mengontrol server BIND, sehingga solusi termudah dalam kasus khusus ini adalah menambahkan pengguna ke bindgrup.

Sejumlah daemon umum yang mengejutkan memiliki pengaturan serupa (saya pribadi masih mencari tahu kemungkinan powerdns dalam hal itu, tetapi sejauh ini terlihat menjanjikan). Jika Anda tidak ingin melakukannya, sudoAnda harus memeriksa apakah yang ingin Anda capai adalah mungkin berdasarkan kasus per kasus.

Anda tidak ingin menggunakan sudo untuk memberikan root untuk beberapa perintah. Sebagai gantinya Anda dapat chmod 4750 program tertentu [yang dapat membungkus perintah], untuk meningkatkan hak-hak pengguna normal untuk mengeksekusi itu sebagai root.