visudoを使用してsodoersファイルを直接変更する代わりに、/ etc / sudoers.d /にローカルコンテンツを追加する

/etc/sudoers.d/のいくつかの例と詳細な説明を教えてください

いくつかのコマンドをsudoするいくつかのグループ許可を与えたいのですが、適切な方法で、マルチユーザーマシンのUbuntuセキュリティモデルに不必要な抜け穴を作らないようにします。

古代では、いくつかの単純なsudoersカスタマイズを行いましたが、どうやら今では/etc/sudoers.d/がより適切な方法であり、よりよく理解したいと思います。

この質問、言って/etc/sudoers自動的にシステムのアップグレードによって変更することができ、システム全体の設定ファイルで、不適切な変化に非常に脆弱です。不適切な変更を行うと、アクセスが失われたり、システムが起動できなくなる可能性があります。

$ sudo cat /etc/sudoers
#
# This file MUST be edited with the 'visudo' command as root.
#
# Please consider adding local content in /etc/sudoers.d/ instead of
# directly modifying this file.
#

(... some other content ...)

# See sudoers(5) for more information on "#include" directives:

#includedir /etc/sudoers.d

あなたが期待するかもしれないことに反して、#includedirディレクティブはコメントではありません。またsudo、/etc/sudoers.dディレクトリ内のファイル（「〜」で終わらないファイル、または「。」文字を含まないファイル）の読み取りおよび解析も行います。

$ ls -l /etc/sud*
-r--r----- 1 root root  755 sty 20 17:03 /etc/sudoers

/etc/sudoers.d:
total 7
-r--r----- 1 root root 958 mar 30  2016 README
$ sudo cat /etc/sudoers.d/README
#
# As of Debian version 1.7.2p1-1, the default /etc/sudoers file created on
# installation of the package now includes the directive:
# 
#   #includedir /etc/sudoers.d
# 
# This will cause sudo to read and parse any files in the /etc/sudoers.d 
# directory that do not end in '~' or contain a '.' character.
# 
# Note that there must be at least one file in the sudoers.d directory (this
# one will do), and all files in this directory should be mode 0440.
# 
# Note also, that because sudoers contents can vary widely, no attempt is 
# made to add this directive to existing sudoers files on upgrade.  Feel free
# to add the above directive to the end of your /etc/sudoers file to enable 
# this functionality for existing installations if you wish!
#
# Finally, please note that using the visudo command is the recommended way
# to update sudoers content, since it protects against many failure modes.
# See the man page for visudo for more information.
#

とは異なり/etc/sudoers、/etc/sudoers.dシステムのアップグレード後も存続するため、変更するよりもそこにファイルを作成することをお勧めします/etc/sudoers。

visudo次のコマンドを使用して、このディレクトリ内のファイルを編集できます。

$ sudo visudo -f /etc/sudoers.d/veracrypt
  GNU nano 2.5.3        File: /etc/sudoers.d/veracrypt.tmp                      

# Users in the veracryptusers group are allowed to run veracrypt as root.
%veracryptusers ALL=(root) NOPASSWD:/usr/bin/veracrypt

https://help.ubuntu.com/community/Sudoersで説明されているvisudo代わりに、別のエディターを使用する場合があることに注意してくださいnano

ここに、私が役立つと思われるリンクをいくつか示します。

— パヴェル・デブスキ
ソース

ファイルの間違いが/etc/sudoers.dsudoをダウンできないことは事実ではありません。これらのファイルはに連結され/etc/sudoersます。同じ規則がこれらのファイルに適用されます。

— -tobltobs

たとえそうでなくても、不適切なファイルによってシステムをダウンさせることができるのはまさにその通りです。#includedirは単純な愚かな連結ではありません-いくつかのチェックが行われているため、最も明白なエラーが検出され、簡単に回復できます。しかし、注意してください-あなたは常に鋭いナイフで自分を傷つけることができますので、注意して扱って

— ください;

@RichardRiley unix.stackexchange.com/questions/244064/を

— Xunnamius