Configuración de privilegios de superusuario con sudo

Antes de empezar, estas son algunas reglas básicas para mantener las configuraciones de sudo:

Sugerencia: configuración de sudo y sistemas de archivos inmutables

Un sistema de archivos inmutable es un sistema de archivos que no se puede cambiar una vez que se ha instalado. Se accede a él en modo de solo lectura. Si el producto SUSE que utiliza se basa en un sistema de archivos inmutable, la configuración de sudo por defecto incluida con el producto se instala en /usr/etc/sudoers y los ajustes preconfigurados se encuentran en /usr/etc/sudoers.d/.

Sus propias configuraciones personalizadas se encuentran en /etc/sudoers.d/ y tienen prioridad sobre todo lo que se proporciona en /usr/etc/sudoers.d/. El comando visudo abre /usr/etc/sudoers y guarda el archivo modificado en /etc/sudoers, si no había ningún archivo sudoers anterior. Si ya había uno, visudo lo abre y escribe en él. La instancia ubicada en /etc/ tiene prioridad sobre la que se guardan en /usr/etc/. De esta forma, los ajustes de configuración realizados por el usuario no se interrumpirán con las actualizaciones.

Cree un archivo de configuración de sudo que permita a un usuario normal (tux) utilizar el comando useradd con su propia contraseña, en lugar de la contraseña de root.

Puede modificar la configuración del Ejemplo 1, “Creación de un archivo de configuración específico del usuario” para que un grupo de usuarios con nombre pueda ejecutar el comando useradd sin necesidad de la contraseña de root. Además, añada usermod y userdel a la lista de comandos disponibles para este grupo.

Puede usar alias para simplificar aún más la configuración personalizada del Ejemplo 2, “Creación de configuraciones personalizadas agrupando elementos”. La agrupación de elementos ayuda hasta cierto punto, pero el uso de alias globales para usuarios, comandos y hosts es la forma más eficaz de mantener una configuración de sudo limpia y ajustada.

El uso de alias y grupos en lugar de listas es una forma mucho mejor de abordar los cambios en la configuración. Si un usuario se marcha, basta con eliminarlo de la declaración User_Alias global en su archivo de declaración de alias en lugar de buscar en todos los archivos de configuración personalizados. El mismo procedimiento se aplica a cualquier otro tipo de alias (Host_Alias, Cmnd_Alias y Runas_Alias).

Nota: información adicional

Encontrará una descripción más detallada de la sintaxis de configuración de sudo en la Sección 7, “Referencia de configuración de sudo” y consulte la página de manual de sudo.

Tener que introducir sudo cada vez que se desea ejecutar un comando como root puede resultar tedioso. En su lugar, puede utilizar uno de los mecanismos incorporados para iniciar una shell con privilegios permanentes de root. Para ello, hay dos comandos disponibles:

Con ambos comandos, la shell se inicia con un nuevo entorno y se inicia sesión como root. Cualquier comando posterior que se ejecute dentro de esa shell se ejecutará con privilegios elevados sin tener que volver a introducir la contraseña. Este entorno finaliza cuando se cierra la shell y se debe volver a introducir la contraseña para otro comando sudo.

El comando sudo -s lanza una shell interactiva que no es de inicio de sesión. Después de autenticarse correctamente con la contraseña de root, todos los comandos siguientes se ejecutan con privilegios elevados.

La variable de entorno SHELL o la shell por defecto del usuario especifica qué shell se abre. Si esta variable está vacía, se toma la shell definida en /etc/passwd.

Por defecto, el comando sudo -s se ejecuta desde el directorio del usuario anterior, ya que el usuario de destino hereda el entorno del usuario anterior. El comando también se registra en el historial.

Para iniciar una shell con privilegios elevados permanentemente, introduzca el siguiente comando:

tux:~ > sudo -s
[sudo] password for root:
root:/home/tux # exit
tux:~ > 

El indicador cambia de > a # .

Ha iniciado una shell con privilegios elevados de forma permanente. Todos los comandos siguientes se ejecutan sin volver a solicitar la contraseña.

El comando sudo -i es similar a la opción de línea de comandos sudo -s, pero lanza una shell de inicio de sesión interactiva. Al utilizar el comando sudo -s, el usuario de destino hereda el entorno del usuario anterior. Puede evitarlo mediante el comando sudo -i, donde el usuario de destino obtiene un entorno limpio y empieza en su propio directorio $HOME.

Para ejecutar un comando con sudo -i, introduzca lo siguiente:

tux:~ > sudo -i
[sudo] password for root:
root:~ # exit
tux:~ > 

Ha iniciado una shell con privilegios elevados permanentemente y el comando se registra en el historial. Todos los comandos siguientes se ejecutan sin volver a solicitar la contraseña.

La directiva #includedir de /etc/sudoers omite los archivos que terminan con el carácter ~ o que contienen el carácter .. El objetivo de esto es evitar problemas con los archivos de configuración proporcionados por el gestor de paquetes (que contiene .), o con los archivos temporales o de copia de seguridad del editor (que terminan en ~). Asegúrese de que los nombres de los archivos de configuración personalizados no contienen ni terminan con estos caracteres. Si es así, cámbieles el nombre.

El orden en el que se leen los archivos de configuración determina cuándo se aplica una directiva de configuración de sudo. Las directivas de un archivo ubicado en /etc/sudoers.d/ tienen prioridad sobre las mismas directivas de /etc/sudoers. Si las directivas personalizadas indicadas en /etc/sudoers.d/ no funcionan, compruebe el orden en el que se leen los archivos mediante visudo -c. Ajuste el orden, si es necesario.

Si ha interrumpido accidentalmente la configuración de sudo del sistema y se ha bloqueado el acceso a sudo, utilice su - y la contraseña de root para iniciar una shell de root. Ejecute visudo -c para comprobar si hay errores y corríjalos mediante visudo.

Los archivos de configuración de sudoers contienen dos tipos de opciones: cadenas e indicadores. Las cadenas pueden contener cualquier valor, pero los indicadores solo se pueden activar o desactivar. Las estructuras de sintaxis más importantes para los archivos de configuración de sudoers son las siguientes:

# Everything on a line after # is ignored1
Defaults !insults # Disable the insults flag2
Defaults env_keep += "DISPLAY HOME" # Add DISPLAY and HOME to env_keep3
tux ALL = NOPASSWD: /usr/bin/frobnicate, PASSWD: /usr/bin/journalctl4

Cada regla sigue el siguiente esquema ([] indica partes opcionales):

#Who      Where         As whom      Tag                What
User_List Host_List = [(User_List)] [NOPASSWD:|PASSWD:] Cmnd_List

ALL se puede utilizar como User_List, Host_List y Cmnd_List.

Los administradores pueden evitar tener que mantener un conjunto de reglas repetitivas e individuales introduciendo alias en los elementos de grupo. Su sintaxis es la misma que la de las reglas. Se admiten los siguientes tipos de alias:

Considere los alias como listas con nombre de usuarios, grupos, comandos y hosts. Para ilustrar el poder de los alias, tomemos este ejemplo:

Host_Alias    WEBSERVERS = www1, www2, www31
User_Alias    ADMINS = tux, wilber, suzanne2
Cmnd_Alias    REBOOT = /sbin/halt, /sbin/reboot, /sbin/poweroff3
ADMINS WEBSERVERS = REBOOT4

En resumen, los alias ayudan a los administradores a mantener la flexibilidad y la gestión de sudoers (y, por lo tanto, su seguridad). Si, por ejemplo, uno de los usuarios ha abandonado la empresa, puede suprimir el nombre de esa persona de la instrucción User_Alias y de cualquier grupo del sistema al que pertenezca una sola vez, en lugar de tener que buscar todas las reglas que incluyan a ese usuario.