Оглавление |
---|
Информация | ||
---|---|---|
| ||
|
Введение
FreeIPA позволяет настраивать правила разрешения и запрета на использование sudo
для пользователей и групп пользователей. В правилах могут задаваться:
- пользователи (группы пользователей), к которым применяются правила;
- команды (группы команд), которые можно (нельзя) выполнять этим пользователям с применением
sudo
; - хосты (группы хостов), на которых применяется правило;
- опции команды
sudo
, использующиеся при применении правила.
При использовании инициализации сервера контроллера (реплики) FreeIPA или при вводе клиента в домен FreeIPA система автоматически конфигурируется так, чтобы команда sudo
использовал службы использовала доменную службу
sssd
как провайдера источник данных о разрешениях использования sudo
. Эта конфигурация задается в файле /etc/nsswitch.conf
:
Блок кода |
---|
sudoers: files sss |
где:
files
— использовать данные из локального файла/etc/sudoers
;sss
— использовать данные, предоставленные службойsssd
.
Служба
sssd
, в свою очередь, настроена настроена таким образом, чтобы получать данные по правилам sudo
от доменной службы каталогов (LDAP). Подробная информация по работе команды sudo
приведена в справочной системе man sudo
, man sudoers
.
Предупреждение | ||||
---|---|---|---|---|
Правила Служба
Или воспользоваться инструментом
|
Команды
Добавление команды
Регистрация команд
Команды, которые будут далее использоваться в правилах sudo
(т. е. которые далее могут выполняться от имени sudo
указанными в правилах пользователями) должны быть зарегистрированы. Зарегистрировать можно любую команду, имеющуюся в системе, на которой будет применяться правило. Для регистрацииДля добавления новой команды:
- Войти в webвеб-интерфейс FreeIPA;.
- Перейти на во вкладку "Политика";.
- Выбрать в выпадающем меню "Sudo " пункт "— Команды Sudo" и нажать "Добавить";.
- В появившемся окне:
Указать полный путь расположения команды, которая должна выполняться от имени
sudo
(например, текстовый редактор nano, имеющий полный путь для редактора nano —/usr/bin/nano
);
Узнать полный путь расположения команды можно командойwhich
, например:Command which nano Примечание Пути расположения команд стандартны и обычно не зависят от системы, однако в случае нестандартных путей расположения системе может понадобиться получить пути на той машине, на которой будет применяться правило. - Опционально указать описание команды в произвольной форме (например, Текстовый редактор nano):
- Для сохранения изменений нажать "кнопку Добавить". В результате указанная команда будет добавлена в список зарегистрированных команд:
Далее эту команду можно будет использовать в правилахsudo
.
Создание правила
Для создания нового правила sudo
:
- Перейти на во вкладку "Политика" ;.
- В Выбрать в выпадающем меню "Sudo" выбрать пункт "— Правила Sudo";.
- Нажать "Добавить";Для добавления нового правила нажать "Добавить" кнопку Добавить и ввести имя правила:.
- Нажать "кнопку Добавить и изменить", после чего будет создано "пустое" правило и откроется форма настройки его параметров этого правила:
Настройка параметров правила
При настройке правила задаются следующие параметры:
- Раздел
- Основные
- содержит поля:
- содержит поля:
- Порядок
- Sudo — необязательный приоритет правила.
- Представляется целым числом, определяет очередность выполнения
- правила. Правила с большим значением выполняются раньше;
- Описание
- — необязательный комментарий к правилу;
Раздел
Параметры
— параметры для
команды
sudo
. Например, наиболее
распространенная опция
— не запрашивать пароль у пользователя при использовании команды
sudo
(опция
!authenticate
). Если в правиле указать эту опцию, то указанные в правиле команды можно будет выполнять через
sudo
без ввода пароля, если опция не используется, то потребуется ввести пароль пользователя, выполняющего команду.Информация Полный список поддерживаемых параметров см. в справочной системе:
Command man sudoers - Раздел
- Кто
- — список пользователей и групп пользователей, которым разрешено применять sudo в соответствии с правилом. Можно разрешить применять правило всем пользователям (группам пользователей);
- Раздел
- Получить доступ к узлу
- —
- список узлов в домене FreeIPA, на которых применяется правило. Можно разрешить применять правило на всех узлах;
- Раздел
- Выполнить команды
- — команды, к которым применяется данное правило. Возможно
- разрешить или запретить выполнение команды или группы команд (порядок объединения команд
- в группы см. далее), также возможно разрешить выполнять все команды;
- Раздел
- В качестве
- — от имени какого пользователя или группы пользователей (не root-пользователя) может быть выполнена команда. При добавлении группы пользователей в
- Группы пользователей запуска от имени
- для выполнения команды могут использоваться идентификаторы пользователей (UID) членов этой группы. При добавлении в
- Группы запуска от имени
- для выполнения команды могут использоваться GID этой группы.
- Нажать кнопку Сохранить после внесения изменений в правило
- .
Удаление или отключение правила
Для удаления или отключения правила:
- Выбрать из списка правило, которое необходимо отключить или удалить;
- Для отключения правила нажать кнопку "кнопку Отключить", для удаления — "Удалить":.
Объединение команд в группу
Для удобства управления команды можно объединять в группы. Для этого:
- Перейти на во вкладку "Политика";.
- В Выбрать в выпадающем меню "Sudo " выбрать пункт "— Группы команд Sudo";.
- Нажать "Добавить";Ввести кнопку Добавить и ввести имя группы;.
- Нажать "кнопку Добавить и изменить";Добавить и добавить команды, который нужно которые следует объединить в группу.