debian wheezyでsudoersファイルを適切に設定する方法は？

私は多くのブログ投稿を見てきました、それで十分です

aptitude install sudo
su root
adduser USERNAME sudo

しかし、これはを保護するだけです。aptitudeつまり、

• aptitude install sendmailパスワードを要求します。実行する必要があり sudoますaptitude

• apt-get install sendmailパスワードを要求しないので、sudo特権は必要ありません

• 保護されたファイルを編集する場合、etcその中のファイルはパスワードを要求しないので、sudo特権は必要ありません

• のようなサービスを実行および停止できapacheます。パスワードを要求することはなく、sudo特権は必要ありません。

これを修正するには？これは私のsudoersファイルです：

 This file MUST be edited with the 'visudo' command as root.
#
# Please consider adding local content in /etc/sudoers.d/ instead of
# directly modifying this file.
#
# See the man page for details on how to write a sudoers file.
#
Defaults        env_reset
Defaults        mail_badpass
Defaults        secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:$

# Host alias specification

# User alias specification

# Cmnd alias specification

これは次の出力ですsudo -l。

Matching Defaults entries for root on this host:
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin

User root may run the following commands on this host:
    (ALL : ALL) ALL
    (ALL : ALL) ALL

sudoルールを追加していないため、sudoを何にも使用できません。

このコマンドadduser USERNAME sudoは、指定されたユーザーをというグループに追加しますsudo。その名前のグループが存在している必要があります。addgroup sudoない場合はで作成してください。ユーザーをグループに追加した後、グループメンバーシップを有効にするには、ユーザーはログアウトして再度ログインする必要があります。

sudoは特別なグループ名ではありません。これは、呼び出されたグループのユーザーがユーティリティsudoを介してrootとしてコマンドを実行できるようにするための規約sudoです。これには、sudoersファイルに次の行が必要です。

%sudo ALL = (ALL) ALL

実行visudoしてsudoersファイルを編集します。直接編集しないでください。

「適性を守るだけだ」とあなたが信じる理由がわかりません。適性について特別なことは何もありません。rootとしてコマンドを実行する権限をユーザーに付与すると、そのユーザーはsudo aptitude …or sudo apt-get …またはを実行したりsudo service …、sudoedit編集にroot権限が必要なファイルを編集したりできます。sudoersファイルに含まれていても、ユーザーの特権が直接変更されるわけではありませんsudo。実行すると、rootとしてコマンドを実行できるようになります。コマンドは、を介して実行した場合にのみルートとして実行されますsudo。一部のプログラム、特にユーザーインターフェイスが特別な権限なしで実行され、バックエンドのみがrootとして実行されるGUIプログラムがそれを自動的に行う場合がありますが、rootとして実行されるコマンドは常にによって実行されsudoます。

どのようなことが起きていることです：sudoがパスワードをキャッシュされます。したがって、システムでのsudoの実装を正しく完了した後、最初のコマンドのパスワードを入力する必要があります。その後、しばらくの間キャッシュされます。それが起こり、シーケンスを実行した場合

sudo aptitude install sendmail
sudo apt-get install sendmail

次に、最初のコマンドでパスワードを提供する必要がありますが、2番目のコマンドでは提供しないでください（少なくともタイムアウト内にいる間は）。これは、最初のコマンドのみを保護し、2番目のコマンドは保護していないように感じるかもしれません。詳細な情報（完全なシェルトランスクリプト）がなければ、伝える方法はありません...

上記の答えに従うと、あなたは正しい方向に進んでいます。少なくとも私のDebian Jessieでは、パス/ sbinにあるコマンドの/ usr / binへのソフトリンクを作成しました。例：/ sbin / ifup、/ usr / binへのソフトリンク（ln -s）を配置して使用できます。

もう1つの重要なことは、NOPASSWDを次のように配置することです。

User_Alias NET = goviedo
Cmnd_Alias ETH = /sbin/ifup
NET ALL = NOPASSWD:ETH