Оглавление |
---|
Информация | ||
---|---|---|
| ||
|
Введение
FreeIPA позволяет настраивать правила разрешения и запрета на использование sudo
для пользователей и групп пользователей. При использовании инициализации сервера или вводе клиента в домен система автоматически конфигурируется так, чтобы sudo
использовал службы sssd
как провайдера данных. Эта конфигурация задается в файле /etc/nsswitch.conf
:
Блок кода |
---|
sudoers: files sss |
где:
files
— использовать данные из локального файла /etc/sudoers
;sss
— использовать данные, предоставленные службой sssd
.
Служба sssd
, в свою очередь, настроена таким образом, чтобы получать данные по правилам sudo
от доменной службы каталогов (LDAP). Подробная информация по работе команды sudo
приведена в справочной системе man sudo
, man sudoers
.
Предупреждение | ||||
---|---|---|---|---|
Правила Служба
Или воспользоваться инструментом
|
Команды
Добавление команды
Для добавления новой команды:
- Войти в web-интерфейс FreeIPA;
- Перейти на вкладку "Политика";
- Выбрать в выпадающем меню "Sudo" пункт "Команды Sudo" и нажать "Добавить";
- В появившемся окне:
Указать полный путь расположения команды, которая должна выполняться от имени sudo (например, текстовый редактор nano, имеющий полный путь /usr/bin/nano);
Узнать полный путь можно командой which:Command which nano - Опционально указать описание команды в произвольной форме:
- Для сохранения изменений нажать "Добавить". В результате указанная команда будет добавлена в список команд:
Правила
Создание правила
Для создания нового правила:
- Перейти на вкладку "Политика" ;
- В выпадающем меню "Sudo" выбрать пункт "Правила Sudo";
- Нажать "Добавить";
- Для добавления нового правила нажать "Добавить" и ввести имя правила:
- Нажать "Добавить и изменить", после чего будет создано "пустое" правило и откроется форма настройки параметров этого правила:
Настройка параметров правила
При настройке правила задаются следующие параметры:
- Раздел "Основные" ("General Options"):
- "Порядок sudo" - необязательный приоритет правила. Целое число, определяющее очередность выполнения редактируемого правила. Правила с большим значением выполняются раньше;
- "Описание" - необязательный комментарий к правилу";
Раздел "Параметры" ("Options") — параметры для команды
sudo
. Например, наиболее употребимая опция - не запрашивать пароль у пользователя при использовании командыsudo
(опция "!authenticate"). Полный список поддерживаемых параметров см. в справочной системе:Command man sudoers Раздел "Кто" ("Who") — пользователи и группы — список пользователей и групп пользователей, которым разрешено применять sudo в соответствии с правилом. Можно разрешить применять правило всем пользователям (группам);
Раздел "Получить доступ к узлу" ("Access this host" ) — выбор узлов в домене FreeIPA, на которых применяется правило.
Можно разрешить применять правило на всех узлах;
Раздел "Выполнить команды"
("Run Commands")— команды, к которым применяется данное правило. Возможно "Разрешить
" ("Allow"
)или "Запретить
" ("Deny"
)выполнение команды или группы команд (порядок объединения команд в группы см. далее);
Раздел "В качестве
" ("
As Whom")— от имени какого пользователя или группы пользователей (не root-пользователя) может быть выполнена команда. При добавлении группы пользователей в "Группы пользователей запуска от имени"
("Groups of RunAs Users")для выполнения команды могут использоваться UID членов этой группы. При добавлении в "Группы запуска от имени"
("RunAs Groups")для выполнения команды могут использоваться GID этой группы.
После внесения изменений в правило следует убедиться, что все изменения сохранены (кнопка "Сохранить" в начале формы и нажать эту кнопку для сохранения изменений если она доступна.
Удаление или отключение правила
Для удаления или отключения правила:
- Выбрать из списка правило, которое необходимо отключить или удалитудалить;
- Для отключения правила нажать кнопку "Отключить" ("Disable"), для удаления — "Удалить" ("Delete"):
Объединение команд в группу
Команды Для удобства управления команды можно объединять в группы. Для этого:
- Перейти на вкладку "Политика";
- В выпадающем меню "Sudo" выбрать пункт "Группы команд Sudo";
- Нажать "Добавить";
- Ввести имя группы;
- Нажать "Добавить и изменить";
- Добавить объединяемые команды, который нужно объединить в группу команды.