user1にパスワードなしで「su-user2」を許可する

martinユーザーmartin-testがパスワードなしでユーザーに切り替えられるようにする必要がある

su - martin-test

これはで設定できると思います/etc/pam.d/su。このファイルにはコメントを解除できる行が既にいくつかあります。ただし、martinグループにユーザーを追加するというアイデアは好きではありませんwheel。にmartin切り替えることができるよりも多くの特権を与えたくありませんmartin-test。私も使用したくないsudo。

ユーザーの特権をmartin最小限に抑えながら、それを行う最善の方法は何でしょうか？

の行のすぐ下に次の行を追加pam_rootok.soします/etc/pam.d/su。

auth  [success=ignore default=1] pam_succeed_if.so user = martin-test
auth  sufficient                 pam_succeed_if.so use_uid user = martin

これらの行は、pam_succeed_if.soモジュールを使用してチェックを実行します。参照のLinux-PAM設定ファイルの構文を詳細学ぶためauthのライン。

• 最初の行は、対象ユーザーがであるかどうかを確認しますmartin-test。そうである場合、何も起こりません（success=ignore）。次の行に進み、現在のユーザーを確認します。そうでない場合、次の行はスキップされ（default=1）、通常の認証手順で後続の行に進みます。
• 2行目は、現在のユーザーがであるかどうかを確認しますmartin。そうである場合、システムは認証プロセスが成功したと見なし、（sufficient）を返します。そうでない場合、何も起こらず、通常の認証手順を使用して後続の行に進みます。

suグループに制限することもallowedpeopleできsuます。ここでは、グループはパスワードなしでできます。

auth sufficient pam_succeed_if.so use_uid user ingroup allowedpeople

グループを変更したりsudo、を使用したくない場合は、pamモジュールを使用pam_execして、pamステージで外部スクリプトを実行します。

あなた/etc/pam.d/suのpam_rootok.so行の後に行を追加します：

auth       sufficient pam_exec.so quiet /path/to/script

/path/to/script パーミッション755（rwxr-xr-x）および次のコンテンツがあります。

#!/bin/bash
if [ "$PAM_TYPE" == "auth" ] && \
[ "$PAM_USER" == "martin-test" ] && \
[ "$PAM_RUSER" == "martin" ]; then
  exit 0
else
  exit 1
fi

したがって、次の場合、このスクリプトは成功して存在しますsu。

• 認証のコンテキストで呼び出され、
• 呼び出し元のユーザーであるmartinと
• 認証するユーザーはmartin-testです。

見る：

martin@host:~$ su - martin-test
martin-test@host:~$ exit
martin@host:~$ su - otheruser
Password: ****
otheruser@host:~$ 

ルートアカウントにはアクセスできないが、コマンドの実行に使用するユーザーのパスワードは持っている場合は、次の操作を実行できます。

• これにより、totoのパスワードが尋ねられます。su-toto -c whoami
• これはしません：ssh toto @ localhost whoami

totoのauthorized_keysに公開キーをインストールするだけです

私の簡単な解決策は次のとおりです。

sudo login -f martin-test

どうしてもsudoを避けたい場合は、これをスクリプトに含めることができると思います。

1. rootが所有し、root特権で（setuidフラグを使用）
2. 誰もが実行可能で、sudoもありません。

ただし、これを実際に機能させるにはchown root、chmod +s ToTest.shビットとビットを把握できません。

#!/usr/bin/env bash
echo howdy, I am $(whoami)
sudo login -f martin-test

エコーからわかるように、私はまだ通常のユーザーとして実行されます。そして、それでもsudoパスワードが必要です。ルートとして実行されていた場合sudo、最後の行の...