Debian: sudoers에 사용자를 안전하게 추가하는 방법

데비안에서 기존 사용자에게 관리자 권한을 부여하는 가장 간단하고 안전한 방법은 일반적으로 해당 계정을 sudo그룹에 추가하는 것입니다. 데비안의 기본 sudo 설정은 해당 그룹의 구성원이 명령어를 실행할 수 있도록 허용합니다 sudo. 따라서 일반적으로 직접 파일 을 편집할 필요는 없습니다/etc/sudoers .

데비안 설치 중에 루트 암호를 비워둔 경우, 설치 프로그램은 일반적으로 루트 직접 로그인을 비활성화하고 첫 번째 일반 사용자에게 sudo를 통해 관리자 권한을 부여합니다. 루트 암호를 설정한 경우에는 sudo가 설치되지 않았거나 사용자가 해당 sudo그룹에 속하지 않을 수 있습니다. 데비안은 sudo 관련 안내 에서 두 가지 설정 모두에 대해 설명하고 있습니다 .

사용자에게 이미 sudo 권한이 있는지 확인하십시오.

터미널을 열고 계정에 할당된 그룹을 확인하세요.

groups

sudo출력에 해당 내용이 나타나면 구성을 테스트하십시오 .

sudo whoami

비밀번호를 입력하면 정상적으로 설치가 완료되었다는 메시지가 출력됩니다 root. 셸에 오류 메시지가 표시되면 sudo: command not found루트 권한으로 패키지를 설치하십시오. sudo 실행 권한이 없다는 메시지가 표시되면 해당 계정을 sudo그룹에 추가하십시오.

1. 루트 권한을 획득하고 필요한 경우 sudo를 설치합니다.

루트 암호를 알고 있다면 루트 로그인 셸을 시작하십시오.

su --login

다음으로 APT를 사용하여 sudo를 설치하세요.

apt update
apt install sudo

데비안 참조 문서 에서는 sudo를 루트 셸에서 항상 작업하지 않고도 관리자 권한을 위임하는 표준 도구라고 설명합니다.

2. 해당 사용자를 데비안의 sudo 그룹에 추가합니다.

루트 권한으로 다음 명령어를 실행한 후, alicesudo 권한을 부여받을 계정으로 교체하세요.

adduser alice sudo

를 사용할 수도 있지만 usermod -aG sudo alice, 데비안 전용 adduser USER GROUP형식이 더 간단하고 사용자의 다른 보조 그룹을 실수로 덮어쓰는 것을 방지합니다.

3. 로그아웃 후 다시 로그인하여 접근 권한을 확인하세요.

새로운 그룹 멤버십은 일반적으로 이미 열려 있는 로그인 세션에는 적용되지 않습니다. 데스크톱 또는 SSH 세션에서 완전히 로그아웃한 후 다시 로그인하십시오. 그런 다음 계정을 확인하고 sudo 권한을 테스트하십시오.

groups alice
sudo whoami

사용자가 방금 추가되었는데도 sudo 명령어가 해당 계정에 명령 실행 권한이 없다고 보고하는 경우, 이전 로그인 세션이 원인인 경우가 많습니다. 데비안의 sudo 설명서에는 그룹 멤버십이 로그인 시 활성화된다고 명시되어 있습니다.

(선택 사항: 사용자별 sudoers 규칙을 생성할 수 있습니다.)

대부분의 데비안 시스템에서는 위에서 설명한 그룹 방식만으로도 충분합니다. 사용자별 규칙은 특정 사용자에게만 별도의 sudo 정책을 적용하려는 경우에 유용합니다. /etc/sudoers일반 편집기로 파일을 열지 마십시오. visudo 매뉴얼 에 따르면 visudovisudo는 파일을 잠그고 변경 사항을 설치하기 전에 구문 검사를 수행합니다.

루트 권한으로 마침표가 없는 간단한 이름의 전용 파일을 생성하세요.

visudo -f /etc/sudoers.d/alice

alice일반 sudo 사용자와 동일한 완전한 관리자 권한을 부여하려면 다음을 추가하십시오.

alice ALL=(ALL:ALL) ALL

편집기를 저장하고 종료한 다음, 전체 sudoers 구성이 올바른지 확인하십시오.

visudo -c

/etc/sudoers.dDebian에서는 메인 파일을 수정하는 대신 로컬 사용자 지정 규칙을 별도의 파일에 저장하는 것을 권장합니다 . sudoers 매뉴얼 에서는 이 디렉터리에 있는 파일 이름에 마침표가 포함되거나 로 끝나는 파일은 ~건너뛰므로 와 같은 이름이 alice보다 안전하다고 명시하고 있습니다 alice.conf.

sudo 접근 권한을 제거하는 방법

그룹을 통해 부여된 액세스 권한을 취소하려면 sudo루트 권한으로 다음 명령을 실행하십시오.

deluser alice sudo

Debian의 deluser 매뉴얼 에 따르면 두 개의 인수를 사용하는 명령어는 특정 그룹에서 사용자를 제거합니다. 새 그룹 목록이 적용되도록 사용자가 로그아웃했다가 다시 로그인해야 합니다.

만약 해당 규칙을 직접 생성했다면 /etc/sudoers.d/alice, 그룹에서 계정을 제거하는 것만으로는 충분하지 않습니다. 별도의 규칙이 여전히 권한을 부여하고 있기 때문입니다. 루트 권한으로 해당 규칙을 제거하거나 수정한 후 visudo -c다시 실행하십시오.

흔히 저지르는 실수들을 피하는 방법

• /etc/sudoers일반 텍스트 편집기로 편집하지 마십시오 . 구문 오류로 인해 sudo 접근이 차단될 수 있습니다.
• usermod -G sudo USER이 옵션을 사용하지 마십시오 -a. 이 옵션은 단순히 sudo를 추가하는 대신 사용자의 보조 그룹 목록을 대체할 수 있습니다.
• 함부로 활성화하지 마십시오 NOPASSWD. 암호 없이 sudo 권한을 완전히 활성화하면 사용자 계정이 해킹당했을 때의 피해가 커집니다.
• 새 로그인이 필요하다는 점을 기억하세요. 그룹을 추가하거나 제거해도 기존 세션의 자격 증명은 소급하여 변경되지 않습니다.

따라서 일반적인 데비안 워크스테이션이나 서버의 경우 권장되는 경로는 간단합니다. 필요한 경우 sudo를 설치하고, 계정을 sudo그룹에 추가하고, 새 로그인 세션을 시작한 다음, 루트 셸을 닫기 전에 결과를 확인하십시오.