sudoers - explication simple demandée

Chaque fois que je veux être en mesure d'exécuter quelque chose qui m'oblige à être sudoertrop de fois, j'ai besoin de google pour le formatage de /etc/sudoersme rappeler à nouveau quelle est exactement la bonne façon de l'écrire.

Maintenant, je vois différents styles d'écriture dans mon sudoersfichier, ce qui est la conséquence de différents résultats de Google au fil des mois. J'ai également remarqué que le deuxième exemple (ci-dessous) semble fonctionner dans XFCE, mais pas dans Cinnamon (Gnome 3). Cela pourrait être totalement indépendant, mais néanmoins j'aimerais savoir une fois pour toutes, quelle est la grammaire correcte de la ligne sudoer, et quelle est la différence entre les exemples donnés?

1. redsandro ALL=NOPASSWD:/path/to/command
2. redsandro ALL=(ALL) NOPASSWD:/path/to/command
3. redsandro ALL=(ALL:ALL) NOPASSWD:/path/to/command

De plus, à quoi servent-ils ALL? Un utilisateur, une commande, mais dois-je utiliser le ALLmot - clé jusqu'à trois fois? Suis-je en train de faire ça mal?

Bien sûr, en omettant NOPASSWD:fait de vous entrez votre mot de passe avant que vous êtes autorisé à exécuter la commande, mais un point de confusion est l'utilisation =et :, pour la dernière commande qui fait l'objet de la ligne peut être préfixé soit =, :, ou ), grammaire confuse pour une sémantique similaire.

C'est plus qu'un simple utilisateur et une commande:

redsandro host=(user:group) tag:commands

• hostspécifie les noms d'hôte pour lesquels cette ligne est valide. Sauf si vous partagez un fichier asudoers entre différents hôtes qui ont besoin de règles différentes, la valeur spéciale ALLsignifiant «tous les hôtes» est un bon choix.

• userspécifie les utilisateurs que vous pouvez utiliser avec les -uoptions pour exécuter la commande. Si vous omettez cela, vous ne pouvez pas utiliser l' -uoption.

• groupspécifie les groupes que vous pouvez utiliser avec les -goptions. Si vous l'omettez, vous ne pouvez pas utiliser l' -goption.

Les deux useret groupcomprenez la valeur spéciale en ALLtant que «tous les utilisateurs / groupes»

Si vous omettez tout (user:group)cela, vous ne pouvez pas l'utiliser -uet -gexécutez uniquement la commande en tant que root.

• tag vous permet de spécifier certaines options, comme NOPASSWD

Ainsi, avec votre premier exemple, vous pouvez exécuter la commande en tant que root mais ne pouvez pas l'utiliser -uet l' -gexécuter en tant que tout autre utilisateur ou groupe.

Avec l'exemple 2. vous pouvez exécuter la commande en tant que root ou utiliser -upour l'exécuter comme n'importe quel autre utilisateur.

Avec 3. vous pouvez exécuter la commande en tant que root ou utiliser -uou -gpour exécuter la commande en tant que tout autre utilisateur ou groupe.

Prenons celui-ci à part:
redsandro ALL=(ALL:ALL) NOPASSWD:/path/to/command

redsandro est le nom d'utilisateur auquel nous accordons la permission. Mettez un% à l'avant pour l'appliquer à un groupe.

ALL est un nom pour cette règle. Les Sudoers peuvent faire bien plus que simplement accorder des autorisations globales. C'est là que ça se complique.

= n'a pas besoin d'explication

ALL: ALL se lit comme (who_to_run_it_as: what_group_to_run_it_as). De cette façon, vous pouvez autoriser l'exécution d'une commande, mais uniquement dans le contexte d'un utilisateur ou d'un groupe spécifique.

NOPASSWD: lui dit de désactiver l'invite de mot de passe.

/ path / to / command vous permet de spécifier des commandes spécifiques path_to_commmand, another_command

La chose à retenir est que si sudo est principalement utilisé par les utilisateurs à domicile pour augmenter les privilèges root, il peut être et est utilisé pour contrôler l'accès à des commandes spécifiques d'une manière beaucoup plus granulaire.