دبيان: كيفية إضافة مستخدم إلى قائمة sudoers بأمان

في نظام دبيان، تُعدّ إضافة حساب المستخدم الحالي إلى sudoمجموعة sudo أسهل وأسلم طريقة لمنحه صلاحيات إدارية كاملة. يسمح إعداد sudo الافتراضي في دبيان لأعضاء هذه المجموعة بتنفيذ الأوامر من خلال sudo ، ولاsudo تحتاج عادةً إلى تعديله مباشرةً./etc/sudoers

إذا تركتَ خانة كلمة مرور المستخدم الجذر فارغةً أثناء تثبيت دبيان، فسيقوم المُثبِّت عادةً بتعطيل تسجيل الدخول المباشر للمستخدم الجذر ومنح المستخدم العادي الأول صلاحيات إدارية عبر sudo. أما إذا قمتَ بتعيين كلمة مرور للمستخدم الجذر، فقد لا يكون sudo مُثبَّتًا أو قد لا ينتمي المستخدم الخاص بك إلى sudoالمجموعة. تُوثِّق دبيان كلا الإعدادين في دليل sudo الخاص بها .

تحقق مما إذا كان لدى المستخدم الخاص بك بالفعل صلاحيات sudo

افتح نافذة طرفية وتحقق من المجموعات المخصصة لحسابك:

groups

إذا sudoظهر ذلك في المخرجات، فاختبر الإعدادات:

sudo whoami

بعد إدخال كلمة مرورك، ستظهر لك رسالة تفيد بأن الإعداد يعمل بشكل صحيح root. إذا ظهرت لك رسالة تفيد بأن المستخدم sudo: command not foundغير مصرح له بتشغيل الأمر sudo، فقم بتثبيت الحزمة بصلاحيات المستخدم الجذر. أما إذا ظهرت لك رسالة تفيد بأن المستخدم غير مصرح له بتشغيل الأمر sudo، فأضف الحساب إلى sudoالمجموعة.

1. قم بتسجيل الدخول كمسؤول النظام (root) وقم بتثبيت sudo إذا لزم الأمر.

إذا كنت تعرف كلمة مرور المستخدم الجذر، فقم بتشغيل جلسة تسجيل دخول المستخدم الجذر:

su --login

ثم قم بتثبيت sudo باستخدام APT:

apt update
apt install sudo

يصف مرجع دبيان sudo بأنه الأداة القياسية لتفويض الامتيازات الإدارية دون العمل في غلاف الجذر طوال الوقت.

2. أضف المستخدم إلى مجموعة sudo الخاصة بنظام Debian

مع الاستمرار في استخدام صلاحيات المستخدم الجذر، استبدل aliceالحساب الذي يجب أن يحصل على صلاحيات sudo:

adduser alice sudo

يمكنك أيضًا استخدام usermod -aG sudo alice، ولكن النموذج الخاص بنظام Debian adduser USER GROUPمباشر ويتجنب استبدال مجموعات المستخدم التكميلية الأخرى عن طريق الخطأ.

3. قم بتسجيل الخروج، ثم قم بتسجيل الدخول مرة أخرى، وتحقق من الوصول

لا تُطبّق عضوية المجموعة الجديدة عادةً على جلسة تسجيل دخول مفتوحة بالفعل. سجّل الخروج تمامًا من سطح المكتب أو جلسة SSH، ثم سجّل الدخول مرة أخرى. بعد ذلك، تحقّق من الحساب واختبر الأمر sudo.

groups alice
sudo whoami

إذا تمت إضافة المستخدم حديثًا، ولكن لا يزال الأمر sudo يُشير إلى أن الحساب غير مُصرّح له بتنفيذ أمرٍ ما، فإن جلسة تسجيل دخول قديمة تُعدّ سببًا شائعًا. وتُشير وثائق sudo الخاصة بنظام دبيان تحديدًا إلى أن عضوية المجموعة تُصبح فعّالة عند تسجيل الدخول.

اختياري: إنشاء قاعدة sudoers لكل مستخدم

بالنسبة لمعظم أنظمة دبيان، تكفي طريقة المجموعة المذكورة أعلاه. أما قاعدة المستخدم الواحد فهي مفيدة عندما ترغب في تطبيق سياسة sudo منفصلة. لا تفتح الملف /etc/sudoersفي محرر نصوص عادي. يشرح دليل visudovisudo أن هذه الطريقة تقفل الملف وتتحقق من بنيته قبل تثبيت التغييرات.

بصفتك المستخدم الجذر، أنشئ ملفًا مخصصًا باسم بسيط لا يحتوي على نقطة:

visudo -f /etc/sudoers.d/alice

لمنح aliceنفس الصلاحيات الإدارية الكاملة التي يتمتع بها مستخدم sudo العادي، أضف ما يلي:

alice ALL=(ALL:ALL) ALL

احفظ الملف واخرج من المحرر، ثم تحقق من صحة إعدادات sudoers بالكامل:

visudo -c

توصي دبيان بالاحتفاظ بالقواعد المخصصة المحلية /etc/sudoers.dبدلاً من تعديل الملف الرئيسي. ويشير دليل sudoers أيضاً إلى أنه يتم تجاهل الملفات الموجودة في هذا المجلد والتي تحتوي أسماؤها على نقطة أو تنتهي بـ ~. لذا فإن اسماً مثل aliceأكثر أماناً من alice.conf.

كيفية إزالة صلاحيات المستخدم الجذر (sudo)

لإلغاء الوصول الذي تم منحه من خلال sudoالمجموعة، قم بتشغيل هذا الأمر بصلاحيات المستخدم الجذر:

deluser alice sudo

يؤكد دليل حذف المستخدم في دبيان أن الصيغة ذات الوسيطين تزيل المستخدم من مجموعة محددة. اطلب من المستخدم تسجيل الخروج ثم تسجيل الدخول مرة أخرى حتى يتم تطبيق قائمة المجموعات الجديدة.

إذا أنشأتَ قاعدةً أخرى /etc/sudoers.d/alice، فإن إزالة الحساب من المجموعة لا تكفي لأن تلك القاعدة المنفصلة لا تزال تمنح صلاحيات. قم بإزالة تلك القاعدة أو تعديلها بصلاحيات المستخدم الجذر، ثم أعد تشغيلها visudo -c.

أخطاء شائعة يجب تجنبها

• لا تقم بالتحرير /etc/sudoersباستخدام محرر نصوص عادي. قد يؤدي خطأ في بناء الجملة إلى منع الوصول إلى صلاحيات المستخدم الجذر (sudo).
• لا تستخدم usermod -G sudo USERبدون -a. يمكن لهذا النموذج أن يحل محل قائمة المجموعات الإضافية للمستخدم بدلاً من مجرد إضافة sudo.
• لا تقم بتفعيل هذه الميزة NOPASSWDبشكل عشوائي. إن استخدام صلاحيات sudo الكاملة بدون كلمة مرور يزيد من تأثير اختراق حساب المستخدم.
• تذكر شرط تسجيل الدخول الجديد. إضافة مجموعة أو إزالتها لا تُغير بيانات اعتماد جلسة موجودة بأثر رجعي.

بالنسبة لمحطة عمل أو خادم Debian قياسي، فإن المسار الموصى به بسيط: قم بتثبيت sudo إذا لزم الأمر، وأضف الحساب إلى sudoالمجموعة، وابدأ جلسة تسجيل دخول جديدة، وتحقق من النتيجة قبل إغلاق shell الجذر الخاص بك.