sudoを使用したスーパーユーザ特権の設定

まず、sudo設定を維持するための基本ルールについて説明します。

通常のユーザ(tux)が、rootパスワードではなく自身のパスワードを使用して、useraddコマンドを使用できるように、sudoの設定ファイルを作成します。

指定したユーザのグループがrootパスワードを必要とせずにuseraddコマンドを実行できるように、例1「ユーザ固有の設定ファイルの作成」の設定を変更します。また、このグループで使用できるコマンドのリストにusermodとuserdelを追加します。

エイリアスを使用して、例2「項目のグループ化によるカスタム設定の作成」のカスタム設定の簡素化を進めます。項目をグループ化することはある程度役立ちますが、ユーザ、コマンド、およびホストのグローバルエイリアスを使用することが、クリーンで無駄のないsudo設定を保つための最も効率的な方法です。

リストの代わりにエイリアスやグループを使用する方が、セットアップの変更に対処する上ではるかに良い方法です。グループからユーザが離れる場合は、独立したカスタム設定ファイルをすべて確認するのではなく、エイリアス宣言ファイル内のグローバルUser_Alias宣言からそのユーザを削除するだけですみます。他のタイプのエイリアス(Host_Alias、Cmnd_Alias、およびRunas_Alias)についても、同じ手順が適用されます。

注記: 詳細情報

7項 「sudo設定のリファレンス」でsudo設定構文の詳細な説明を参照するか、sudoのマニュアルページを参照してください。

rootとしてコマンドを実行するたびにsudoの入力が必要であると煩雑な作業になることがあります。代わりに、いずれかの組み込み機能を使用して永続的なroot特権でシェルを起動できます。この方法では次の2つのコマンドオプションを利用できます。

どちらのコマンドでも、シェルは新しい環境で起動し、ユーザはrootとしてログインします。起動したシェルで実行する各コマンドは、パスワードの再入力を必要としない昇格した特権で実行されます。この環境はシェルを閉じると終了するため、別のsudoコマンドでは再度パスワードを入力する必要があります。

sudo -sコマンドでは対話型の非ログインシェルが起動します。rootパスワードによって正しく認証されると、以降のすべてのコマンドは昇格した特権で実行されます。

SHELL環境変数またはユーザのデフォルトのシェルで、どのシェルを開くかを指定します。この変数が空の場合は、/etc/passwdで定義したシェルが選択されます。

デフォルトでは、現在のユーザが前のユーザの環境を継承することから、前のユーザのディレクトリからsudo -sコマンドが実行されます。このコマンドは履歴にも記録されます。

永続的に昇格した特権でシェルを起動するには次のコマンドを入力します。

tux:~ > sudo -s
[sudo] password for root:
root:/home/tux # exittux:~ > 

プロンプトが> から# に変わります。

これで、永続的に昇格した特権でシェルが起動しています。以降のすべてのコマンドは、パスワードの再入力を求められることなく実行できます。

sudo -iはsudo -sコマンドラインオプションに似ていますが、起動するシェルは対話型ログインシェルです。sudo -sコマンドを使用すると、現在のユーザは前のユーザの環境を継承します。sudo -iコマンドを使用すると、これを防ぐことができます。この場合、ターゲットユーザはクリーンな環境を取得し、専用の$HOMEディレクトリで起動します。

sudo -iでコマンドを実行するには次のように入力します。

tux:~ > sudo -i
[sudo] password for root:
root:~ # exittux:~ > 

永続的に昇格された特権でシェルが起動し、コマンドが履歴に記録されます。以降のすべてのコマンドは、パスワードの再入力を求められることなく実行できます。

/etc/sudoersの#includedirディレクティブでは、ファイル名の末尾が~文字であるファイルとファイル名に.文字が使用されているファイルが無視されます。これは、パッケージマネージャに用意されている設定ファイル(ファイル名に.が使用されいるファイル)と、エディタの一時ファイルやバックアップファイル(ファイル名の末尾が~であるファイル)に伴う問題を回避するための措置です。カスタム設定ファイルのファイル名にこのような文字を使用していないこと、ファイル名がこのような文字で終わっていないことを確認します。このような文字を使用しているファイル名、末尾がこのような文字であるファイル名は変更します。

設定ファイルを読み取る順序によって、sudo設定ディレクティブが適用されるタイミングが決まります。/etc/sudoers.d/にあるファイルに記述したディレクティブは、/etc/sudoersにある同じディレクティブより優先されます。/etc/sudoers.d/に記述したカスタムディレクティブが機能しない場合は、visudo -cを使用してファイルの読み取り順序を確認します。必要に応じて、この順序を調整します。

誤ってシステムのsudo設定を破損してしまい、sudoからロックアウトされた場合は、su -とrootパスワードを使用してルートシェルを起動します。visudo -cを実行してエラーがないかどうかをチェックし、visudoを使用してエラーを修正します。

sudoersの設定ファイルには、2種類のオプション(文字列とフラグ)があります。文字列には任意の値を指定できますが、フラグはONかOFFのいずれかです。sudoersの設定ファイルで最も重要な構文構造は次のとおりです。

# Everything on a line after # is ignored1
Defaults !insults # Disable the insults flag2
Defaults env_keep += "DISPLAY HOME" # Add DISPLAY and HOME to env_keep3
tux ALL = NOPASSWD: /usr/bin/frobnicate, PASSWD: /usr/bin/journalctl4

各ルールは、次のスキームに従います([]はオプション部分を示しています)。

#Who      Where         As whom      Tag                What
User_List Host_List = [(User_List)] [NOPASSWD:|PASSWD:] Cmnd_List

ALLは、User_List、Host_List、およびCmnd_Listとして使用できます。

エイリアスを取り入れて項目をグループ化すると、管理者は繰り返しの多い一連のルールを個別に維持する必要がなくなります。これらの構文はルールの構文と同じです。次のタイプのエイリアスがサポートされています。

エイリアスは、ユーザ、グループ、コマンド、およびホストの名前付きリストと考えてください。次にエイリアスの機能例を挙げます。

Host_Alias    WEBSERVERS = www1, www2, www31
User_Alias    ADMINS = tux, wilber, suzanne2
Cmnd_Alias    REBOOT = /sbin/halt, /sbin/reboot, /sbin/poweroff3
ADMINS WEBSERVERS = REBOOT4

要約すると、エイリアスは、管理者がsudoersを管理しやすく簡潔な状態(したがって安全な状態)に保つのに役立ちます。たとえば、ユーザの1人が退職した場合、この特定のユーザを含むルールをすべて検索するのではなく、User_Aliasステートメントと、そのユーザが属していたシステムグループからこの人物の名前を一度削除するだけです。