Configurando privilégios de superusuário com sudo

Antes de começar, veja a seguir algumas regras básicas para manter as configurações do sudo:

Dica: Configuração do sudo e sistemas de arquivos imutáveis

Um sistema de arquivos imutável é aquele que não pode ser mudado depois de instalado. O acesso dele é apenas leitura. Se o produto SUSE que você está usa depende de um sistema de arquivos imutável, a configuração padrão do sudo incluída no produto é instalada em /usr/etc/sudoers, e quaisquer ajustes pré-configurados residem em /usr/etc/sudoers.d/.

Suas configurações personalizadas estão localizadas em /etc/sudoers.d/ e têm prioridade sobre qualquer outra especificada em /usr/etc/sudoers.d/. O comando visudo abre /usr/etc/sudoers e grava o arquivo modificado em /etc/sudoers, quando ainda não existe um arquivo sudoers. Se já existir um, o visudo será aberto e gravará esse arquivo. A instância localizada em /etc/ tem prioridade sobre aquela mantida em /usr/etc/. Dessa forma, os ajustes de configuração feitos pelo usuário não serão prejudicados com as atualizações.

Crie um arquivo de configuração do sudo que permita a um usuário comum (tux) usar o comando useradd com sua própria senha, em vez da senha de root.

Modifique a configuração do Exemplo 1, “Criar um arquivo de configuração específico do usuário” para que um grupo de usuários nomeados possa executar o comando useradd sem a necessidade da senha de root. Além disso, adicione o usermod e o userdel à lista de comandos disponíveis para esse grupo.

Use álias para simplificar ainda mais a configuração personalizada do Exemplo 2, “Criar configurações personalizadas agrupando itens”. O agrupamento de itens ajuda até certo ponto, mas o uso de álias globais para usuários, comandos e hosts é a maneira mais eficiente de manter uma configuração do sudo clara e simples.

O uso de álias e grupos no lugar de listas é uma maneira muito melhor de processar as mudanças em sua configuração. Se um usuário sair, basta removê-lo da declaração global User_Alias no arquivo de declaração de álias, em vez de vasculhar todos os arquivos de configuração personalizados separados. O mesmo procedimento vale para qualquer outro tipo de álias (Host_Alias, Cmnd_Alias e Runas_Alias).

Nota: Para obter mais informações

Encontre uma descrição mais detalhada da sintaxe de configuração do sudo na Seção 7, “Referência de configuração do sudo” e consulte a página de manual do sudo.

Ter que inserir o sudo sempre que você deseja executar um comando como root pode ser desgastante. Em vez disso, você pode usar um dos mecanismos incorporados para iniciar um shell com privilégios de root permanentes. Para isso, há duas opções de comando disponíveis:

Com os dois comandos, o shell é iniciado com um novo ambiente, e você efetua login como root. Qualquer comando subsequente executado nesse shell é aplicado com privilégios elevados sem precisar inserir a senha novamente. Esse ambiente é encerrado quando você fecha o shell, e você deve inserir a senha novamente para outro comando do sudo.

O comando sudo -s inicia um shell interativo sem login. Após a autenticação bem-sucedida com a senha de root, todos os comandos subsequentes serão executados com privilégios elevados.

A variável de ambiente SHELL ou o shell padrão do usuário especifica qual shell deve ser aberto. Se essa variável estiver vazia, o shell definido em /etc/passwd será selecionado.

Por padrão, o comando sudo -s é executado do diretório do usuário anterior porque o usuário de destino herda o ambiente do usuário anterior. O comando também é registrado em seu histórico.

Para iniciar um shell com privilégios permanentemente elevados, digite o seguinte comando:

tux:~ > sudo -s
[sudo] password for root:
root:/home/tux # exit
tux:~ > 

O prompt muda de > para # .

Você iniciou um shell com privilégios permanentemente elevados. Todos os comandos subsequentes serão executados sem solicitar a senha novamente.

O sudo -i é semelhante à opção de linha de comando sudo -s, mas inicia um shell de login interativo. Ao usar o comando sudo -s, o usuário de destino herda o ambiente do usuário anterior. Para evitar isso, use o comando sudo -i, em que o usuário de destino obtém um ambiente limpo e é iniciado em seu próprio diretório $HOME.

Para executar um comando com sudo -i, digite o seguinte:

tux:~ > sudo -i
[sudo] password for root:
root:~ # exit
tux:~ > 

Você iniciou um shell com privilégios permanentemente elevados, e o comando é registrado em seu histórico. Todos os comandos subsequentes serão executados sem solicitar a senha novamente.

A diretiva #includedir em /etc/sudoers ignora os arquivos que terminam com o caractere ~ ou que contêm o caractere .. Isso evita problemas com arquivos de configuração fornecidos pelo gerenciador de pacotes (contendo .) ou com arquivos temporários ou de backup de um editor (que terminam com ~). Verifique se os nomes dos arquivos de configuração personalizados não contêm nem terminam com esses caracteres. Caso contenham esses caracteres, renomeie-os.

A ordem em que os arquivos de configuração são lidos determina quando uma diretiva de configuração do sudo é aplicada. As diretivas em um arquivo localizado em /etc/sudoers.d/ têm precedência sobre as mesmas diretivas em /etc/sudoers. Se as diretivas personalizadas indicadas em /etc/sudoers.d/ não funcionarem, verifique a ordem em que os arquivos são lidos usando visudo -c. Ajuste a ordem, se necessário.

Se você acidentalmente violou a configuração do sudo do sistema e se bloqueou do sudo, use su - e a senha de root para iniciar um shell de root. Execute visudo -c para verificar erros e corrigi-los usando visudo.

Os arquivos de configuração sudoers contêm dois tipos de opções: strings e flags. Enquanto as strings podem conter qualquer valor, os flags podem ser ON ou OFF. Veja a seguir as construções de sintaxe mais importantes para os arquivos de configuração sudoers:

# Everything on a line after # is ignored1
Defaults !insults # Disable the insults flag2
Defaults env_keep += "DISPLAY HOME" # Add DISPLAY and HOME to env_keep3
tux ALL = NOPASSWD: /usr/bin/frobnicate, PASSWD: /usr/bin/journalctl4

Cada regra segue o esquema abaixo ([] marca as partes opcionais):

#Who      Where         As whom      Tag                What
User_List Host_List = [(User_List)] [NOPASSWD:|PASSWD:] Cmnd_List

ALL pode ser usado como User_List, Host_List e Cmnd_List.

Os administradores podem evitar a manutenção de um conjunto de regras repetitivas e individuais introduzindo álias nos itens de grupo. A sintaxe deles é a mesma das regras. Os seguintes tipos de álias são suportados:

Considere os álias como listas nomeadas de usuários, grupos, comandos e hosts. Para ilustrar o poder dos álias, veja este exemplo:

Host_Alias    WEBSERVERS = www1, www2, www31
User_Alias    ADMINS = tux, wilber, suzanne2
Cmnd_Alias    REBOOT = /sbin/halt, /sbin/reboot, /sbin/poweroff3
ADMINS WEBSERVERS = REBOOT4

Em resumo, os álias ajudam os administradores a manter o sudoers simples e gerenciável (e, portanto, seguro). Por exemplo, se um dos usuários sair da empresa, você poderá apagar o nome dessa pessoa da declaração User_Alias, e de qualquer grupo do sistema ao qual ela pertencia, apenas uma vez, sem ter que pesquisar todas as regras que incluíam esse usuário específico.