Comment apporter des modifications au fichier sudoers sous Linux

Le fichier sudoers contrôle la manière dont les utilisateurs peuvent accéder aux commandes de niveau racine sous Linux. Par défaut, les systèmes d'exploitation Linux configurent le premier utilisateur (pendant le processus d'installation) en tant qu'administrateur et lui donnent un accès sudo et des valeurs par défaut raisonnables.

Pour la plupart des utilisateurs, ces valeurs par défaut fonctionnent bien et il n'est pas nécessaire d'apporter des modifications. Cependant, vous devrez modifier le fichier si vous devez donner à de nouveaux utilisateurs un accès sudo, supprimer l'accès d'un utilisateur, limiter ce que les utilisateurs peuvent exécuter en tant que sudo, etc.

L'édition du fichier Sudoers se fait avec la commande visudo dans un terminal. Pour ouvrir le fichier Sudoers à des fins d'édition, ouvrez une fenêtre de terminal en appuyant sur  Ctrl + Alt + T sur le clavier ou recherchez un terminal dans le menu de l'application.

Une fois la fenêtre du terminal ouverte et prête à être utilisée, connectez-vous au terminal avec le compte root.

Remarque : si vous ne pouvez pas vous connecter à root avec la commande su sous Linux, vous devrez activer la connexion root. Pour ce faire, exécutez sudo -s , suivi de passwd .

su

Lorsque vous êtes connecté en tant que root, exécutez la commande visudo pour ouvrir le fichier Sudoers.

ÉDITEUR=nano visudo

Lorsque l'éditeur de texte Nano se lance dans le terminal, il charge le fichier Sudoers pour le modifier. Suivez le guide pour apprendre à apporter des modifications à sudo sous Linux.

Ajout de nouveaux utilisateurs au fichier Sudoers

La première chose que les utilisateurs doivent faire lors de la modification du fichier Sudoers est peut-être d'ajouter un nouvel utilisateur. Pour ajouter un nouvel utilisateur, recherchez la ligne de code suivante.

# User privilege specification

Créez une nouvelle ligne sous "root" et spécifiez le nouvel utilisateur. Par exemple, pour ajouter l'utilisateur "derrik" à sudo, vous écrivez :

derrik  ALL=(ALL:ALL) ALL

Une fois que vous avez terminé d'ajouter votre utilisateur, vous pouvez enregistrer les modifications en appuyant sur Ctrl + O .

Ajouter des utilisateurs via un groupe

Si vous avez ajouté des utilisateurs à sudo via le groupe "wheel" ou le groupe "sudo", vous pouvez supprimer des utilisateurs sans modifier le fichier Sudoers.

Pour ajouter des utilisateurs, ouvrez un terminal et exécutez les commandes suivantes.

su usermod -a -G nom d'utilisateur de la roue

Ou

su usermod -a -G sudo nom d'utilisateur

Suppression d'utilisateurs du fichier Sudoers

Si vous avez déjà ajouté un utilisateur au fichier Sudoers sur votre système Linux et que vous souhaitez le supprimer, vous le pouvez. Mais, d'abord, localisez la ligne de code suivante.

# User privilege specification

Une fois que vous avez localisé la ligne de code, recherchez la ligne utilisateur. Par exemple, pour supprimer l'utilisateur "derrik" de sudo, supprimez la ligne de code suivante.

derrik ALL=(ALL:ALL) ALL

Après avoir supprimé la ligne de code, vous pouvez enregistrer vos modifications à l'aide de Ctrl + O .

Supprimer des utilisateurs via le groupe

Si vous avez ajouté l'accès sudo via le groupe "wheel" ou le groupe "sudo", vous pouvez supprimer les utilisateurs de l'accès sudo sans modifier le fichier Sudoers. Au lieu de cela, ouvrez un terminal et exécutez les commandes suivantes.

su usermod -G nom d'utilisateur de la roue

Ou

su usermod -G sudo nom d'utilisateur

Limiter ce que les utilisateurs peuvent exécuter

L'ajout d'un utilisateur au fichier Sudoers peut être dangereux car, par défaut, il est autorisé à exécuter toutes les commandes avec un accès root élevé. Procédez comme suit : si vous souhaitez donner aux utilisateurs l'accès à sudo mais souhaitez limiter ce qu'ils exécutent.

Tout d'abord, recherchez la ligne utilisateur. Par exemple, limitez l'utilisateur "derrik" à n'exécuter que des commandes spécifiques en tant que root lorsqu'il est spécifié, comme le code ci-dessous.

derrik ALL=(root) /usr/bin/app/path/here/

Vous devrez ajouter une nouvelle ligne pour restreindre chaque commande. Appuyez sur Ctrl + O pour enregistrer lorsque vous avez terminé les modifications.

Utiliser sudo sans mot de passe

Vous pouvez modifier le fichier sudoers pour utiliser la  commande sudo  sans avoir besoin d'ajouter un mot de passe. Cette fonctionnalité est connue sous le nom de "sudo sans mot de passe". C'est une fonctionnalité excellente et pratique. Cependant, cela peut être dangereux.

Si vous savez que cela n'est pas sûr mais que vous souhaitez tout de même le faire, veuillez suivre notre guide sur l' activation de sudo sans mot de passe sous Linux .

Augmenter la sécurité sudo

Ceux qui apprécient la sécurité peuvent vouloir augmenter la sécurité sudo. Heureusement, il est possible d'augmenter votre sécurité Sudoer en activant la fonctionnalité use_pty . Cette fonctionnalité garantit que sudo doit s'exécuter dans un bac à sable, ce qui le rend plus difficile à exploiter avec des logiciels malveillants.

Pour activer cette fonctionnalité, recherchez une zone du fichier Sudoers avec la ligne "Par défaut". Ensuite, appuyez sur Entrée pour créer une nouvelle ligne. Ensuite, ajoutez le code suivant pour activer la fonctionnalité use_pty .

Defaults use_pty

Une fois l'édition terminée, appuyez sur Ctrl + O .

Augmenter le délai d'attente sudo

Par défaut, lorsqu'un utilisateur entre le mauvais mot de passe avec la commande sudo , il autorise 3 essais avant de verrouiller l'utilisateur. Vous pouvez augmenter ce délai de 3 tentatives à un montant personnalisé.

Trouvez "Defaults" dans votre fichier Sudoers, appuyez sur Entrée pour créer une nouvelle ligne, puis entrez le code suivant.

Defaults  passwd_tries=CUSTOM_NUMBER

Pour enregistrer vos modifications, appuyez sur Ctrl + O .

Afficher la saisie du mot de passe

L'une des choses les plus ennuyeuses à propos de la commande sudo est la façon dont elle masque la saisie du mot de passe. Si vous souhaitez le révéler, vous devrez activer la rétroaction du mot de passe. Pour activer le retour de mot de passe, suivez notre guide sur le sujet .