Configuration des privilèges de superutilisateur avec sudo

Avant de commencer, voici quelques règles de base pour la gestion des configurations sudo :

Astuce : configuration sudo et systèmes de fichiers immuables

Un système de fichiers immuable est un système de fichiers impossible à modifier une fois installé. Il est accessible en lecture seule. Si le produit SUSE que vous utilisez repose sur un système de fichiers immuable, la configuration sudo par défaut fournie avec le produit est installée sous /usr/etc/sudoers et tous les ajustements préconfigurés se trouvent sous /usr/etc/sudoers.d/.

Vos propres configurations personnalisées sont situées sous /etc/sudoers.d/ et sont prioritaires sur tout ce qui se trouve à l'emplacement /usr/etc/sudoers.d/. La commande visudo ouvre /usr/etc/sudoers et enregistre le fichier modifié à l'emplacement /etc/sudoers, s'il n'y avait pas encore de fichier sudoers. Si un fichier était déjà présent, visudo ouvre et écrit dans ce fichier. L'instance située sous /etc/ est prioritaire sur celle qui est conservée à l'emplacement /usr/etc/. De cette façon, les ajustements de configuration effectués par l'utilisateur ne seront pas endommagés lors des mises à jour.

Créez un fichier de configuration sudo qui permet à un utilisateur standard (tux) d'employer la commande useradd avec son propre mot de passe au lieu du mot de passe root.

Modifiez la configuration de l'Exemple 1, « création d'un fichier de configuration spécifique à l'utilisateur » de sorte qu'un groupe d'utilisateurs nommés puisse exécuter la commande useradd sans avoir besoin du mot de passe root. Ajoutez également usermod et userdel à la liste des commandes disponibles pour ce groupe.

Les alias permettent de simplifier davantage votre configuration personnalisée de l'Exemple 2, « création de configurations personnalisées en regroupant des éléments ». Le regroupement d'éléments est utile dans une certaine mesure, mais l'utilisation d'alias globaux pour les utilisateurs, les commandes et les hôtes est le moyen le plus efficace de conserver une configuration sudo propre et légère.

L'utilisation d'alias et de groupes au lieu de listes est une méthode bien plus efficace pour gérer les modifications apportées à votre configuration. Si un utilisateur quitte ses fonctions, il suffit de le retirer de la déclaration User_Alias globale de votre fichier de déclaration d'alias au lieu de parcourir séparément tous les fichiers de configuration personnalisés pour le supprimer. La même procédure s'applique à tout autre type d'alias (Host_Alias, Cmnd_Alias et Runas_Alias).

Note : informations supplémentaires

Pour obtenir une description plus détaillée de la syntaxe de configuration de sudo, reportez-vous à la Section 7, « Référence de configuration sudo » et à la page de manuel de sudo.

Le fait de devoir entrer sudo à chaque fois que vous voulez exécuter une commande en tant que root peut devenir fastidieux. À la place, vous pouvez utiliser l'un des mécanismes intégrés pour démarrer un shell avec des privilèges root permanents. Pour cela, deux options de commande sont disponibles :

Avec les deux commandes, le shell démarre avec un nouvel environnement et vous êtes connecté en tant qu'utilisateur root. Lorsque vous exécuterez d'autres commandes dans ce shell avec des privilèges élevés, il ne sera pas nécessaire de ressaisir le mot de passe. Vous quittez cet environnement lorsque vous fermez le shell et vous devez à nouveau saisir le mot de passe pour exécuter une autre commande sudo.

La commande sudo -s lance un shell interactif sans connexion. Une fois l'authentification réussie avec le mot de passe root, toutes les commandes suivantes sont exécutées avec des privilèges élevés.

La variable d'environnement SHELL ou le shell par défaut de l'utilisateur spécifie le shell qui s'ouvre. Si cette variable est vide, le shell défini dans /etc/passwd est sélectionné.

Par défaut, la commande sudo -s s'exécute à partir du répertoire de l'utilisateur précédent, car l'utilisateur cible hérite de l'environnement de l'utilisateur précédent. La commande est également consignée dans votre historique.

Pour démarrer un shell avec des privilèges élevés de façon permanente, entrez la commande suivante :

tux:~ > sudo -s
[sudo] password for root:
root:/home/tux # exit
tux:~ > 

L'invite passe de > à # .

Vous avez démarré un shell avec des privilèges élevés de façon permanente. Toutes les commandes suivantes sont exécutées sans que vous ayez à entrer de nouveau le mot de passe.

La commande sudo -i est similaire à l'option de ligne de commande sudo -s, mais elle lance un shell de connexion interactif. Lorsque vous utilisez la commande sudo -s, l'utilisateur cible hérite de l'environnement de l'utilisateur précédent. Vous pouvez empêcher cet héritage en utilisant la commande sudo -i, où l'utilisateur cible obtient un environnement nettoyé et démarre à partir de son propre répertoire $HOME.

Pour exécuter une commande avec sudo -i, entrez ceci :

tux:~ > sudo -i
[sudo] password for root:
root:~ # exit
tux:~ > 

Vous avez démarré un shell avec des privilèges élevés en permanence et la commande est consignée dans votre historique. Toutes les commandes suivantes sont exécutées sans que vous ayez à entrer de nouveau le mot de passe.

La directive #includedir dans /etc/sudoers ignore les fichiers qui se terminent par le caractère ~ ou qui contiennent le caractère .. Cela permet d'éviter les problèmes avec les fichiers de configuration fournis par le gestionnaire de paquets (contenant .), ou avec les fichiers temporaires ou de sauvegarde d'un éditeur (se terminant par ~). Assurez-vous que les noms de vos fichiers de configuration personnalisés ne contiennent ni ne se terminent par ces caractères. Si c'est le cas, renommez-les.

L'ordre dans lequel les fichiers de configuration sont lus détermine le moment auquel une directive de configuration sudo est appliquée. Les directives d'un fichier situé sous /etc/sudoers.d/ sont prioritaires sur les mêmes directives dans /etc/sudoers. Si les directives personnalisées indiquées dans /etc/sudoers.d/ ne fonctionnent pas, vérifiez l'ordre dans lequel les fichiers sont lus à l'aide de visudo -c. Ajustez l'ordre, si nécessaire.

Si vous avez accidentellement endommagé la configuration sudo de votre système et que vous vous êtes exclu de sudo, utilisez su - et le mot de passe root pour démarrer un shell root. Exécutez visudo -c pour rechercher les erreurs, puis corrigez-les à l'aide de visudo.

Les fichiers de configuration sudoerscontiennent deux types d'options : des chaînes et des indicateurs. Bien que les chaînes puissent contenir n'importe quelle valeur, les indicateurs peuvent être activés (ON) ou désactivés (OFF). Les constructions de syntaxe les plus importantes pour les fichiers de configuration sudoers sont les suivantes :

# Everything on a line after # is ignored1
Defaults !insults # Disable the insults flag2
Defaults env_keep += "DISPLAY HOME" # Add DISPLAY and HOME to env_keep3
tux ALL = NOPASSWD: /usr/bin/frobnicate, PASSWD: /usr/bin/journalctl4

Chaque règle respecte le schéma suivant ([] indique les parties facultatives) :

#Who      Where         As whom      Tag                What
User_List Host_List = [(User_List)] [NOPASSWD:|PASSWD:] Cmnd_List

ALL peut être utilisé en tant que User_List, Host_List et Cmnd_List.

Les administrateurs peuvent éviter de devoir gérer un ensemble de règles répétitives et individuelles en introduisant des alias pour grouper des éléments. Leur syntaxe est la même que celle des règles. Les types d'alias pris en charge sont les suivants :

Considérez les alias comme des listes de noms d'utilisateurs, de groupes, de commandes et d'hôtes. Pour illustrer la puissance des alias, prenez cet exemple :

Host_Alias    WEBSERVERS = www1, www2, www31
User_Alias    ADMINS = tux, wilber, suzanne2
Cmnd_Alias    REBOOT = /sbin/halt, /sbin/reboot, /sbin/poweroff3
ADMINS WEBSERVERS = REBOOT4

En résumé, les alias aident les administrateurs à ce que le fichier sudoers reste le plus simple et le plus gérable (et donc le plus sécurisé) possible. Si, par exemple, l'un des utilisateurs a quitté la société, vous pouvez supprimer le nom de cette personne de l'instruction User_Alias et de tout groupe système auquel elle appartenait une seule fois au lieu de devoir rechercher toutes les règles qui contenaient cet utilisateur spécifique.