Vom vorbi despre Sudo Command și Sudoers File Usage.

 

Fișierul sudoers este esențial pentru gestionarea permisiunilor de administrare în Linux, permițând anumitor utilizatori sau grupuri să ruleze comenzi cu privilegii de root prin intermediul comenzii sudo. Configurarea corectă a fișierului sudoers contribuie la securitatea și controlul accesului în sistemul Linux.

1. Ce este sudo și fișierul sudoers

• sudo: Este o comandă ce permite unui utilizator obișnuit să execute comenzi cu permisiuni de root, solicitând introducerea parolei proprii. Utilizarea sudo este preferată în locul accesului direct la root (su), deoarece oferă un control mai fin și poate restricționa utilizatorii doar la anumite comenzi.
• Fișierul sudoers: Localizat în /etc/sudoers, acest fișier specifică ce utilizatori sau grupuri pot folosi sudo și ce comenzi au permisiunea să ruleze. Modificarea incorectă a acestui fișier poate duce la pierderea accesului administrativ, de aceea este important să se editeze cu grijă.

2. Editarea fișierului sudoers în siguranță

• Utilizați visudo: visudo este un utilitar special conceput pentru a edita fișierul sudoers. El verifică sintaxa și permite doar o singură sesiune de editare la un moment dat. Pentru a edita, folosiți:

  bash
  
  sudo visudo
  

• Această comandă deschide fișierul sudoers folosind editorul de text implicit (de obicei nano sau vi). După ce faceți modificările, visudo verifică erorile de sintaxă înainte de a salva fișierul.

3. Structura fișierului sudoers

Fișierul sudoers include diverse reguli pentru permisiuni, definite pe linii separate. Iată câteva dintre cele mai comune secțiuni:

• Permisiuni pentru utilizatori individuali:

  bash
  
  user_name ALL=(ALL:ALL) ALL
  

  Aici, user_name reprezintă un nume de utilizator. Aceasta linie permite utilizatorului să ruleze orice comandă cu sudo.

• Permisiuni pentru grupuri:

  bash
  
  %group_name ALL=(ALL:ALL) ALL
  

  Simbolul % denotă un grup. În acest exemplu, toți membrii grupului specificat (ex. %admin) pot folosi sudo pentru a executa comenzi administrative.

• Permisiuni pentru rularea unor comenzi specifice:

  bash
  
  user_name ALL=(ALL) /usr/bin/apt, /usr/bin/systemctl
  

  Această linie permite utilizatorului user_name să ruleze doar apt și systemctl cu permisiuni sudo, fără acces la alte comenzi.

• Permisiuni fără parolă:

  bash
  
  user_name ALL=(ALL) NOPASSWD: /usr/bin/apt update
  

  Această linie permite utilizatorului user_name să ruleze apt update fără a i se solicita parola. Aceasta se folosește de obicei pentru automatizarea sarcinilor.

4. Exemple practice

• Adăugarea unui utilizator pentru acces sudo complet: Pentru a permite unui utilizator, cum ar fi ana, să ruleze orice comandă cu sudo, adăugați următoarea linie:

  bash
  
  ana ALL=(ALL:ALL) ALL
  

• Configurarea accesului sudo pentru un grup: Dacă doriți ca toți membrii grupului devs să aibă acces sudo complet, adăugați:

  bash
  
  %devs ALL=(ALL:ALL) ALL
  

• Permisiuni limitate pentru rularea doar a anumitor comenzi: Pentru a permite utilizatorului maria să repornească doar serviciul de rețea și să facă actualizări de pachete:

  bash
  
  maria ALL=(ALL) /usr/bin/systemctl restart networking, /usr/bin/apt update
  

• Acces fără parolă pentru scripturi automate: Pentru a permite unui utilizator john să ruleze shutdown fără parolă:

  bash
  
  john ALL=(ALL) NOPASSWD: /sbin/shutdown
  

5. Verificarea permisiunilor și aplicarea

După editarea fișierului sudoers, folosiți comanda sudo -l pentru a verifica ce permisiuni de sudo are un utilizator specific:

bash

sudo -l

Aceasta afișează o listă a comenzilor pe care utilizatorul curent le poate rula cu sudo.

6. Bune practici pentru fișierul sudoers

• Folosiți visudo întotdeauna pentru a evita erorile de sintaxă.
• Evitați NOPASSWD pentru comenzi critice, mai ales pe servere publice, din motive de securitate.
• Nu acordați acces root complet decât atunci când este necesar, pentru a limita eventualele greșeli sau breșe de securitate.
• Organizați regulile: Dacă aveți multe reguli, structurați-le pentru a evita confuziile. Puteți chiar crea fișiere separate în directorul /etc/sudoers.d pentru configurări mai complexe, iar acestea vor fi incluse automat.

Fișierul sudoers permite un control detaliat asupra accesului la comenzi administrative, iar editarea lui în siguranță ajută la menținerea unui mediu Linux securizat și organizat.