Справочный центр

Дерево страниц

Сравнение версий

Старая версия 7

changes.mady.by.user Вероника Затолокина

Сохранено

по сравнению с

Новая версия 8

changes.mady.by.user Вероника Затолокина

Сохранено

Ключ

  • Эта строка добавлена.
  • Эта строка удалена.
  • Изменено форматирование.

...

FreeIPA позволяет настраивать правила разрешения и запрета на использование sudo для пользователей и групп пользователей. При использовании нативных команд ipa-server-install или ipa-client-install для развертывания сервера или ввода клиента в домен система автоматически конфигурируется таким образом, чтобы sudo использовал SSSD как провайдера данных, конфигурируя файл /etc/nsswitch.conf:

...

SSSD в свою очередь сконфигурирован таким образом, чтобы получать данные по правилам sudo от LDAP-сервера (более подробная информация по работе sudo приведена в man sudo, man sudoers.

Предупреждение
  1. Правила sudo не могут применяться к встроенной группе хостов ipaserver, т.к. эта группа не имеет свойства mepmanagedentry, следовательно не имеет в objectclass запись mepOriginEntry, что является необходимым условием для идентификации группы. Это является особенностью схемы в FreeIPA.

  2. Для SSSD существует кэширование с TTL, по умолчанию — 5400. Для немедленного применения правил sudo необходимо этот кэш очистить, выполнив следующие команды:

    Блок кода
    systemctl stop sssd
rm /var/lib/sss/db/*
systemctl start sssd


...

Настройка правила

Options — указываются параметры для sudo. Например, не запрашивать пароль у пользователя при использовании команды sudo.

...

Access this host — возможно применять на всех узлах в домене FreeIPA или указать конкретные узлы и группы узлов.

Run Commands — указываются команды, к которым применяется данное правило. Возможно указание указать Allow или Deny на выполнение команды или группы команд.

As Whom — указываются каким пользователем или группой пользователей (не root-пользователем) будет выполнена команда. При добавлении группы пользователей в Group of RunAs Users для выполнения команды будет использоваться UID членов этой группы. При добавлении в RunAs Groups для выполнения команды будет использоваться GID этой группы.

...