前回の記事でsuコマンドについて取り上げていますので、
関連するところで今回はsudoについてです。
- ■sudoコマンドについて
- ■/etc/sudoers と visudoコマンドについて
- ■/etc/sudoers の書式について
- ■/etc/sudoersの初期設定について
- ■/etc/sudoersの設定例１
- ■/etc/sudoersの設定例２
- ■/etc/sudoersの設定例３
- ■sudoコマンドの履歴について
本記事は以下の本を参考にしております。
■sudoコマンドについて
例えば、一般ユーザにログインしている際に、
rootユーザでしか実行できないコマンドやファイル操作をしたい場合、以下の2つの方法が考えられます。
① rootユーザにスイッチ
② そのコマンドだけrootユーザとして実行
①についてはrootユーザの権限をそのまま渡すことになるため、実行したいコマンド以外にも好き勝手出来てしまい、好ましくない場合があります。（rootユーザのパスワードを教えることにもなります。）
②の方法を採用することで、rootパスワードを必要とせず、あらかじめ定義したコマンドのみの操作を許可することができます。
sudoコマンドは②の方法に該当します。
■/etc/sudoers と visudoコマンドについて
sudoコマンドの設定ファイルは/etc/sudoersです。
ただし、/etc/sudoersをviコマンド等で直接編集することは非推奨です。
/etc/sudoersを編集する場合には、visudoコマンドを利用します。
■/etc/sudoers の書式について
以下の書式で各パラメータを記載します。
ユーザ名 ホスト名=(実行ユーザ名) [NOPASSWD:] コマンドA,コマンドB,・・・
各項目の意味は以下の通りです。
ユーザ名・・・コマンドの実行を許可するユーザ、グループ、もしくはALL。省略不可
ホスト名・・・実行を許可するホスト名、IPアドレス、もしくはALL。省略不可。
実行ユーザ名・・・コマンド実行時のユーザ名。省略時はrootユーザを意味。
NOPASSWD・・・記載した場合、コマンド実行時に実行ユーザのパスワードが聞かれない。
コマンド・・・実行を許可するコマンドのパス、もしくはALL。省略不可。
■/etc/sudoersの初期設定について
/etc/sudoersでは、デフォルトで以下の記載があります。
その中で最終行目の%wheelの記載について取り上げます。
まず、先頭の%はグループを意味します。
そのため、wheelグループについての記載なことがわかります。
続いて、ALL=(ALL)ですが、
・ホスト名がALL
・実行ユーザ名もALL
であり、コマンド部分のALLも合わせると、
「wheelグループは、全てのホストで全ての実行ユーザによる全てのコマンドの実行が可能」ということを意味しています。
■/etc/sudoersの設定例１
試しに一般ユーザであるtestuserに対して、useraddコマンドが実行できるようにしてみます。
尚、/etc/sudoersを修正する前にuseraddを実行すると以下の通りになります。
では、/etc/sudoersを修正してみます。
visudo
末尾に以下を追記します。
testuser ALL=(ALL) /usr/sbin/useradd
設定完了後、:wqで保存します。
以下は設定後の/etc/sudoersです。（末尾に追記されていることが確認できます。）
再度、useraddコマンドを打ちます。以下の通り実行できました。
尚、"[sudo] testuser のパスワード:"で聞かれている部分は、testuserのパスワードを入力します。
※rootユーザのパスワードではないことに注意してください。
■/etc/sudoersの設定例２
設定例１同様ですが、今度はパスワードの入力が不要な状態にしてみます。
では、/etc/sudoersを修正してみます。
visudo
末尾に以下を追記します。
testuser ALL=(ALL) NOPASSWD:/usr/sbin/useradd
設定完了後、:wqで保存します。
以下は設定後の/etc/sudoersです。（末尾に追記されていることが確認できます。）
再度、useraddコマンドを打ちます。今度はパスワードの入力無しで実行できました。
■/etc/sudoersの設定例３
今度は作成したユーザを削除するための設定を行います。
尚、/etc/sudoersを修正する前にuseraddを実行すると以下の通りになります。
では、/etc/sudoersを修正してみます。
visudo
末尾に以下を追記します。
testuser ALL=(ALL) NOPASSWD:/usr/sbin/useradd,/usr/sbin/userdel
設定完了後、:wqで保存します。
以下は設定後の/etc/sudoersです。（userdelコマンドが追記されていることが確認できます。）
再度、userdelコマンドを打ちます。パスワードの入力無しで実行できました。
■sudoコマンドの履歴について
sudoコマンドを実行した一般ユーザは、/var/log/secureに実行履歴が保存されます。
以下は/var/log/secureの出力例です。
※testuserでuserdelコマンドを実行したい際のログです。
（/etc/sudoersの修正前に打って失敗したコマンドも記録されています。）
以上です。
本記事は以下の本を参考にしております。
