2. 程式人生 > >05-sudo權限配置

05-sudo權限配置

阿新 • • 發佈：2018-06-03
-a active 結束時間 mount six inf rip 升級 nes

閱讀目錄

  1. 基礎環境準備
  2. 服務端配置
  3. 客戶端配置
  4. 客戶端驗證
  5. 附：sudo常見屬性介紹
  6. 常見錯誤分析

1. 基礎環境準備

本文接文章openldap服務端安裝配置

2. 服務端配置

  1. 導入sudo schema

    openldap默認schema中不包含sudo所需要的數據結構，這時需要我們自行導入sudo schema文件。操作如下

    [root@mldap01 tmp]# rpm -ql sudo-1.8.6p3-27.el6.x86_64 | grep schema
/usr/share/doc/sudo-1.8.6p3/schema.ActiveDirectory
/usr/share/doc/sudo-1.8.6p3/schema.OpenLDAP
/usr/share/doc/sudo-1.8.6p3/schema.iPlanet
[root@mldap01 tmp]# cp -a /usr/share/doc/sudo-1.8.6p3/schema.OpenLDAP /etc/openldap/schema/sudo.schema

    技術分享圖片

    [root@mldap01 slapd.d]# slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d
config file testing succeeded
[root@mldap01 slapd.d]# chown ldap.ldap -R /etc/openldap/slapd.d
[root@mldap01 slapd.d]# /etc/init.d/slapd restart
Stopping slapd:                                            [  OK  ]
Starting slapd:                                            [  OK  ]

  2. 驗證openldap是否支持sudo

    查看OpenLDAP數據庫目錄中schema所產生的文件

    技術分享圖片

    查看sudo schema所支持的對象類型 

    [root@mldap01 ~]# ldapsearch -LLLY EXTERNAL -H ldapi:/// -b cn={12}sudo,cn=schema,cn=config | grep NAME | awk ‘{print $4,$5}‘ | sort 
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
NAME ‘sudoCommand‘
NAME ‘sudoHost‘
NAME ‘sudoNotAfter‘
NAME ‘sudoNotBefore‘
NAME ‘sudoOption‘
NAME ‘sudoOrder‘
NAME ‘sudoRole‘
NAME ‘sudoRunAs‘
NAME ‘sudoRunAsGroup‘
NAME ‘sudoRunAsUser‘
NAME ‘sudoUser‘

  3. 定義sudo規則條目及sudo組

    sudoers的配置信息存放在ou=suders的子樹中，默認OpenLDAP用戶並沒有指定sudo規則，openldap首先在目錄樹子樹中尋找條目cn=defaults, 如果找到，那麽所有的sudoOption屬性都會被解析為全局默認值, 這類似於系統sudo(/etc/sudoers)文件中Defaults語句。

    當用戶到OpenLDAP服務端中查詢一個sudo用戶權限時一般有兩到三次查詢。第一次查詢解析全局配置，第二次查詢匹配用戶名或者用戶所在的組（特殊標簽ALL也在此次查詢中匹配），如果沒有找到相關匹配項，則發出第三次查詢，此次查詢返回所有包含用戶組的條目並檢查該用戶是否存在於這些組中。接下來創建openldap的sudoers子樹。具體命令如下。

    [root@mldap01 ~]# cat << EOF | ldapadd -x -D "cn=Manager,dc=gdy,dc=com" -W
> dn: ou=sudoers,dc=gdy,dc=com
> objectClass: organizationalUnit
> objectClass: top
> ou: sudoers
> 
> dn: cn=default,ou=sudoers,dc=gdy,dc=com
> objectClass: sudoRole
> cn: default
> description: Default sudoOption‘s go here
> sudoOption: requiretty
> sudoOption: !visiblepw
> sudoOption: always_set_home
> sudoOption: env_reset
> sudoOption: env_keep="COLORS DISPLAY HOSTNAME HISTSIZE INPUTRC KDEDIR LS_COLORS"
> sudoOption: env_keep+="MALL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE"
> sudoOption: env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES"
> sudoOption: env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHOME"
> sudoOption: env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY"
> sudoOption: secure_path=/sbin:/bin:/usr/sbin:/usr/bin
> 
> dn: cn=%dba,ou=sudoers,dc=gdy,dc=com
> objectClass: sudoRole
> cn: %dba
> sudoUser: %dba
> sudoRunAsUser: oracle
> sudoRunAsUser: grid
> sudoOption: !authenticate
> sudoCommand: /bin/bash
> 
> dn: cn=%app,ou=sudoers,dc=gdy,dc=com
> objectClass: sudoRole
> cn: %app
> sudoUser: %app
> sudoHost: ALL
> sudoRunAsUser: appman
> sudoOption: !authenticate
> sudoCommand: /bin/bash
> 
> dn: cn=%admin,ou=sudoers,dc=gdy,dc=com
> objectClass: sudoRole
> cn: %admin
> sudoUser: %admin
> sudoHost: ALL
> sudoOption: authenticate
> sudoCommand: /bin/rm
> sudoCommand: /bin/rmdir
> sudoCommand: /bin/chmod
> sudoCommand: /bin/chown
> sudoCommand: /bin/dd
> sudoCommand: /bin/mv
> sudoCommand: /bin/cp
> sudoCommand: /sbin/fsck*
> sudoCommand: /sbin/*remove
> sudoCommand: /usr/bin/chattr
> sudoCommand: /sbin/mkfs*
> sudoCommand: !/usr/bin/passwd
> sudoOrder: 0
> 
> dn: cn=%limit,ou=sudoers,dc=gdy,dc=com
> objectClass: top
> objectClass: sudoRole
> cn: %limit
> sudoCommand: /usr/bin/chattr
> sudoHost: limit.gdy.com
> sudoOption: !authenticate
> sudoRunAsUser: ALL
> sudoUser: %limit
> EOF
Enter LDAP Password: 
adding new entry "ou=sudoers,dc=gdy,dc=com"

adding new entry "cn=default,ou=sudoers,dc=gdy,dc=com"

adding new entry "cn=%dba,ou=sudoers,dc=gdy,dc=com"

adding new entry "cn=%app,ou=sudoers,dc=gdy,dc=com"

adding new entry "cn=%admin,ou=sudoers,dc=gdy,dc=com"

adding new entry "cn=%limit,ou=sudoers,dc=gdy,dc=com"

    以上操作中，讀者不難發現app組可以通過sudo切換到系統appman用戶下，而且也不需要輸入驗證密碼，同理admin組裏面的用戶只能通過sudo執行允許的命令，其他越權命令不允許執行。dba組裏面的用戶可以通過sudo命令切換到系統oracle和grid用戶下，且不需要輸入驗證密碼。limit組裏面的用戶只允許在limit.gdy.com機器上通過sudo執行一條命令，且不需要提供驗證密碼，其他任何機器都不能使用sudo命令執行命令。manager組裏面的用戶可以在任何主機上執行sudo命令，沒有任何限制，如果要求OpenLDAP用戶提示輸入密碼，只需要將!authenticate中的感嘆號去掉即可。

  4. 添加OpenLDAP用戶到app組和manager組中

    [root@mldap01 ~]# cat << EOF | ldapadd -D "cn=Manager,dc=gdy,dc=com" -c -x -W
dn: cn=app,ou=Group,dc=gdy,dc=com 
objectClass: posixGroup
cn: app
gidNumber: 10005

dn: cn=manager,ou=Group,dc=gdy,dc=com
objectClass: posixGroup
cn: manager
gidNumber: 10006

dn: uid=jboss,ou=People,dc=gdy,dc=com
objectClass: account
objectClass: posixAccount
objectClass: shadowAccount
cn: jboss
uid: jboss
uidNumber: 20006
gidNumber: 10005
userPassword: {CRYPT}$6$eRYFmeDr$siXSlXkO8OEhzHsLvlslFJZpmLnW1ajWU3wG3b4DVAdP6jYJDpUwwJW2juEir3wbpjU6t2h7sSWfRARb2xJ.G1
homeDirectory: /home/jboss
loginShell: /bin/bash

dn: uid=manager01,ou=People,dc=gdy,dc=com
objectClass: account
objectClass: posixAccount
objectClass: shadowAccount
cn: manager01
uid: manager01
uidNumber: 20007
gidNumber: 10006
userPassword: {CRYPT}$6$yTg3xJfA$VpThv3kvPG1uFw2.n/VgTnk8W05PED9CdEq.RXbz7SdjGd30z51lyuiBUFfd4F8HGQvWV3pWlplqATQh90fpL.
homeDirectory: /home/manager01
loginShell: /bin/bash
EOF
Enter LDAP Password: 
adding new entry "cn=app,ou=Group,dc=gdy,dc=com"

adding new entry "cn=manager,ou=Group,dc=gdy,dc=com"

adding new entry "uid=jboss,ou=People,dc=gdy,dc=com"

adding new entry "uid=manager01,ou=People,dc=gdy,dc=com"

  5. 通過ldapsearch指令查看jboss用戶及app組相關信息

    [root@mldap01 ~]# ldapsearch -x -LLL uid=jboss
dn: uid=jboss,ou=people,dc=gdy,dc=com
objectClass: account
objectClass: posixAccount
objectClass: shadowAccount
cn: jboss
uid: jboss
uidNumber: 20006
gidNumber: 10005
homeDirectory: /home/jboss
loginShell: /bin/bash

[root@mldap01 ~]# ldapsearch -x -LLL cn=app 
dn: cn=app,ou=Group,dc=gdy,dc=com
objectClass: posixGroup
cn: app
gidNumber: 10005

3. 客戶端配置

  1. 查看當前sudo版本是否支持openldap的sudo規則，不支持的版本需要進行升級

    [user1@test01 openldap]$ rpm -qi sudo  | grep -i version 
Version     : 1.8.6p3                           Vendor: CentOS
// 如果sudo版本為1.7.4p5則需要對sudo進行升級，否則無法支持openldap服務器sudo規則的匹配

[user1@test01 openldap]$ sudo -V
Sudo version 1.8.6p3
Sudoers policy plugin version 1.8.6p3
Sudoers file grammar version 42
Sudoers I/O plugin version 1.8.6p3   //sudo版本的信息

  2. 客戶端加入OpenLDAP服務端

    本文略，具體參考openldap客戶端安裝

  3. 修改nsswitch.conf配置文件，添加sudo查找順序，命令如下

    [root@mldap01 ~]# cat >> /etc/nsswitch.conf << EOF
> sudoers:      ldap files
> EOF
[root@mldap01 ~]# cat /etc/nsswitch.conf | grep -i sudoers
sudoers:      ldap files

  4. 修改sudo-ldap.conf配置文件，添加支持後端openldap驗證sudo的參數，命令如下：

    [root@mldap01 ~]# cat >> /etc/sudo-ldap.conf << EOF
> SUDOERS_BASE ou=Sudoers,dc=gdy,dc=com
> EOF
[root@mldap01 ~]# cat /etc/sudo-ldap.conf | grep -i Sudoers
## SUDOERS_BASE base
##  Multiple SUDOERS_BASE lines may be specified, in which
#sudoers_base ou=SUDOers,dc=example,dc=com
## SUDOERS_DEBUG debug_level
#sudoers_debug 1
uri ldap://mldap01.gdy.com
SUDOERS_BASE ou=sudoers,dc=gdy,dc=com

4. 客戶端驗證

驗證OpenLDAP帳號通過sudo提取系統用戶權限

```shell
ldif格式的appman用戶及組
dn: uid=appman,ou=people,dc=gdy,dc=com
uid: appman
cn: appman
objectClass: account
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
userPassword: {CRYPT}$6$2v5NKeJj$e1G81HKtTa0fnNX1nqhX1ym/63/X0lHEnobGd0ZBHiwUhcy9SlF8RC.6bPH.CtEbfEVSnn.rRBkRWCAisUrgn/
shadowLastChange: 17675
shadowMin: 0
shadowMax: 99999
shadowWarning: 7
loginShell: /bin/bash
uidNumber: 30000
gidNumber: 30000
homeDirectory: /home/appman

dn: cn=appman,ou=Group,dc=gdy,dc=com
objectClass: posixGroup
objectClass: top
cn: appman
userPassword: {crypt}x
gidNumber: 30000

[root@test01 ~]# ssh [email protected]
[email protected]‘s password: 
Last login: Thu May 24 13:49:07 2018 from localhost
[jboss@test01 ~]$ sudo -l
Matching Defaults entries for jboss on this host:
    requiretty, !visiblepw, always_set_home, env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE INPUTRC KDEDIR LS_COLORS", env_keep+="MALL PS1 PS2 QTDIR
    USERNAME LANG LC_ADDRESS LC_CTYPE", env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER
    LC_TELEPHOME", env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY", secure_path=/sbin:/bin:/usr/sbin:/usr/bin, !visiblepw, always_set_home,
    env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE INPUTRC KDEDIR LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
    env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME
    LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY", secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin

User jboss may run the following commands on this host:
    (appman) NOPASSWD: /bin/bash
[jboss@test01 ~]$ sudo -i -u appman
[appman@test01 ~]$        # 切換成功
```

5. 附：sudo常見屬性介紹

sudo常見的屬性有以下幾個

  • sudoCommand：可執行的二進制命令，如useradd、userdel、mount、umount等。
  • sudoHost：可在哪些機器上執行sudoCommand定義的BASH命令。
  • sudoNotAfter：起始時間sudo規則匹配。
  • sudoNotBefore：結束時間sudo規則匹配。
  • sudoOption：定義超過自身權限及切換至其他用戶時，是否需要輸入當前用戶密碼。
  • sudoOrder：sudo規則執行順序，其屬性是一個整數。
  • sudoRole：定義的規則。
  • sudoRunAS：可切換到定義的用戶身份下執行BASH命令。
  • sudoRunAsGroup：可切換到定義所屬組並具有該組的權限。
  • sudoRunAsUser：定義可切換至哪些用戶下執行命令。
  • sudoUser：限制哪些用戶或哪些組內的成員具有sudo相關規則。

6. 常見錯誤分析

  1. 例1，報錯/home/appman: No such file or directory

    [jboss@test01 ~]$ sudo -i -u appman
sudo: unable to change directory to /home/appman: No such file or directory
sudo: unable to execute /bin/bash: No such file or directory

    解決方法：在本機創建appman的家目錄就可以了

05-sudo權限配置

相關推薦

05-sudo權限配置

-a active 結束時間 mount six inf rip 升級 nes 閱讀目錄 基礎環境準備 服務端配置 客戶端配置 客戶端驗證 附：sudo常見屬性介紹 常見錯誤分析 1. 基礎環境準備 本文接文章openldap服務端安裝配置 2. 服務端配置 導入

Linux用戶配置sudo權限(visudo)

led 編輯 pda visible 相關配置 smi related sha drivers sudo的工作過程如下： 1，當用戶執行sudo時，系統會主動尋找/etc/sudoers文件，判斷該用戶是否有執行sudo的權限 2，確認用戶具有可執行sudo的權限後，讓

sudo提權實戰講解 對用戶對組的權限配置分析

final recommend com 例子 它的 對組 times 操作系統 rect Linux是多用戶多任務的操作系統, 共享該系統的用戶往往不只一個。出於安全性考慮, 有必要通過useradd創建一些非root用戶, 只讓它們擁有不完全的權限; 如有必要，再來提升權

權限配置

查詢條件 系統 授權 允許 其它 權限管理 如果 增加 用戶 權限配置： 1.進入系統，登錄 2. 3.點擊組織管理下的用戶管理，選擇機構，（會有《出單測試人員統計表》，按照裏面的選擇機構） 雙擊機構 出現請輸入查詢條件 然後把用戶代碼粘進去 點增加

jenkins權限配置不對導致jenkins無法登陸

每次 xxx nes 管理員 使用 pda directory read sina 提醒：每次更改權限時，要將config.xml備份一下。 在打開jenkins後，沒有創建用戶前，先不要勾選系統設置中啟用安全選項，如果勾選了，就會出現無法進入jenkins的現象。 如果

普通用戶加sudo權限

code 這一 技術分享 sudoer http 用戶 圖片 pan 其中 沒配置之前希望在普通用戶下，通過sudo命令，讓用戶暫時擁有root權限，並創建一個文件夾。很明顯，失敗了，錯誤原因是：該用戶暫沒有root權限。 解決辦法如下 1.打開sudoers文件 切換到

給linux用戶加入sudo權限

art user nopasswd ack 想要 補充 sudo 權限 clas 加入sudo權限方法： 須要在/etc/sudoers文件裏加入想要條目以實現權限。 其加入有兩種方法：（在root用戶環境下執行的） 1：直接使用visudo

面向對象權限配置組件 (面向對象編程 組件化開發)

++ dom attribute select 會計 ner 構建 code sel 1.組件結構 2.頁面調用 <!DOCTYPE html> <html lang="en"> <head> <meta charset=

linux給用戶加入sudo權限

超級用戶 name 是你 clas 運行 系統 例如 導致 con linux給用戶加入sudo權限： 有時候，linux以下執行sudo命令，會提示類似： xxxis not in the sudoers file. This incide

linux基礎-給普通用戶組分配sudo權限

輸入 sudoer inux 指令 bsp linux 登錄 roo sudoers 在root用戶登錄下， 輸入 vim /etc/sudoers ,在root ALL=(ALL) ALL 這一行後面按著這種格式加上你要添加sudo權限的的用戶組名稱。 eg：

sudo權限

sudo linux redhat sudo是Unix/Linux平臺上的一個非常有用的工具，允許為非根用戶賦予一些合理的“權利”，讓他們執行一些只有根用戶或特許用戶才能完成的任務，從而減少根用戶的登陸次數和管理時間同時也提高了系統安全性。sudo的目的：為非根用戶授予根用戶的權限； sudo的工

Linux 文件系統屬性 chattr 權限 和 系統命令 sudo 權限

但是 col nbsp 刪除權限 改名 用戶名 strong 文件系統 all 01、chattr格式 => chattr [+-=][選項]文件或者目錄名 　　　　+：增加權限 　　　　-：刪除權限 　　　　=：等於權限 　　　　lsattr：查看 cha

SpringMVC+ZTree實現樹形菜單權限配置

true attr 前端 prefix fill body log cti tope 計劃在開源項目裏加入權限配置的功能，打算加入zTree實現樹形結構。 Team的Github開源項目鏈接：https://github.com/u014427391/jeeplatform

Linux--sudo權限講解

通用 usr 正在 定義 增加 ash sbin passwd sha sudo簡介：sudo是linux系統管理指令，是允許系統管理員讓普通用戶執行一些或者全部的root命令的一個工具，如halt，reboot，su等等。這樣不僅減少了root用戶的登錄 和管理

Server 2008 配置共享文件服務器--權限配置

保留 進步 process strong ado ali align 文件服務器 枚舉 因為某些原因，舊的服務器需要更換到新的盤中，而且舊的也沒有做相關的權限，所以順著這次的更換，把權限也做細。主要思路如下： 1、主文件夾下不可以新建、刪除文件與文件夾2、次級文件夾裏可以

gerrit用戶管理及權限配置

gerrit gitlab gerrit的部署與配置請參見：centos部署配置gerrit+gitlab實現代碼的review與自動同步1. 增加普通成員 需要管理員登錄服務器，通過修改htpasswdhtpasswd -b /usr/local/nginx/conf/htpasswd/ger

OpenLDAP權限配置

必須 red hat 給定 monit 中一 att 應該 user AI 安裝好了openldap之後，就是對它進行配置了，其中一項就是設置訪問控制，限制普通用戶只能修改/訪問他們能修改/訪問的項。這就是ACL需要做的事情。 設置方法 1、可以將 include行放在/

Linux中給普通用戶添加sudo權限

sudoer 輸入密碼 添加 保存 超級用戶 普通 行操作 撤銷 系統 使用Linux系統時，經常會被要求使用超級權限，但是root的權限太過大了，一般慎用！！！因此可以通過給普通用戶添加sudo權限，平常用普通用戶進行操作，當需要root權限的時候進行sudo操作。以下為

nfs服務權限配置

Linux NFS 權限設置 1、 查看系統是否已經安裝了服務Rpm -qa | grep nfs 2、 啟動服務，並且開機自動運行Systemctl start nfsSystemctl enabled nfs3、 配置NFS服務（1） 創建共享文件,並在問價加下創建一個文檔Mkdir /

給用戶和組添sudo 權限

登陸 ESS wheel sudoers nopasswd alt 方法 命令 mark 生產環境中，我們很少用root賬號登陸，和上機操作！這樣很危險，但是有的時候，又需要root權限怎麽辦那？sudo 這個命令可以解決我們的問題vim /etc/sudoers在root