리눅스에서 비밀번호 없이 sudo를 실행하는 방법

sudoers 정책에 규칙을 추가하면 암호 없이 sudo를 실행할 수 있습니다 NOPASSWD. 하지만 모든 sudo 명령에 대한 암호 입력 프롬프트를 비활성화하는 대신, 필요한 관리자 명령만 실행하도록 허용하는 것이 가장 안전한 방법입니다.

설정을 변경하기 전에 이 설정이 어떤 역할을 하는지 기억하세요. 로그인한 계정을 장악한 사람은 누구나 추가 인증 절차 없이 허용된 명령어를 루트 권한으로 실행할 수 있습니다. sudoers 매뉴얼에서는 이 태그를 해당 명령어에 대한 인증을 제거하는 데 사용한다고 설명합니다 NOPASSWD.

sudo -s 명령어가 암호 없이 sudo 권한을 행사하는 방법이 아닌 이유는 무엇일까요?

기존의 명령어 실행 방식은 sudo -s실제로 암호 없이 sudo를 실행하는 것을 의미하지 않습니다. 해당 -s옵션은 sudo 권한으로 셸을 시작하지만, sudo 정책에 따라 먼저 인증을 요구할 수 있습니다. 또한, sudo가 일반적으로 인증 성공 시 짧은 시간 동안 캐시하기 때문에 추가 인증 프롬프트 없이 여러 명령어가 실행될 수 있습니다. 이는 영구적인 NOPASSWD규칙과는 다릅니다.

암호 없이 특정 sudo 명령어를 실행합니다.

이 예제는 사용자가 alex비밀번호 없이 Nginx를 재시작할 수 있도록 합니다. 사용자 이름, 명령 및 인수는 시스템에 맞는 값으로 바꾸십시오.

1. 사용자 이름과 명령 경로를 확인하세요.

다음 명령어를 일반 사용자 권한으로 실행하세요.

whoami
command -v systemctl

두 번째 명령은 오류를 반환할 수 있습니다 /usr/bin/systemctl. 시스템에서 보고하는 경로를 사용하십시오. sudoers 규칙은 명령을 전체 경로로 식별해야 합니다.

2. sudoers 전용 드롭인 파일을 생성합니다.

/etc/sudoers직접 편집하는 대신 visudo다음 경로에 있는 파일을 사용하세요 /etc/sudoers.d.

sudo visudo -f /etc/sudoers.d/alex-nopasswd

일반적으로 이 설정 단계에서는 암호를 입력해야 합니다. visudovisudo는 변경 사항을 적용하기 전에 구문을 검사하기 때문에 권장됩니다. 우분투 visudo 설명서에는visudo visudo가 편집 중에 파일을 잠그고 구문 분석 오류를 검사한다고 나와 있습니다 .

3. 필요한 가장 좁은 NOPASSWD 규칙을 추가합니다.

Nginx 재시작 예시의 경우, 다음을 추가하세요:

alex ALL=(root) NOPASSWD: /usr/bin/systemctl restart nginx

이 규칙은 지정된 인수를 사용하는 명령만 인증 없이 루트 권한으로 실행할 수 있도록 허용합니다. 여러 특정 명령을 허용하려면 명령 지정을 쉼표로 구분하십시오.

특정 사용자가 모든 sudo 명령 에 대해 인증 절차를 건너뛰도록 하려면 다음과 같은 일반적인 규칙을 따르십시오.

alex ALL=(ALL:ALL) NOPASSWD: ALL

이 방법은 보안성이 훨씬 떨어지며 워크스테이션이나 공유 시스템에서는 최선의 선택이 아닌 경우가 많습니다. 사용자 세션이 손상될 경우 무제한 루트 권한에 직접 접근할 수 있기 때문입니다.

4. 규칙을 검증하고 테스트합니다.

편집기를 저장하고 종료한 후 전체 sudoers 정책을 확인하십시오.

sudo visudo -c

이 검사를 건너뛰지 마십시오. visudo문서에 따르면 sudoers 정책은 전체적으로 평가되므로 전체 구성을 확인하면 포함된 파일과 관련된 문제를 발견할 수 있습니다.

그런 다음 캐시된 sudo 자격 증명을 무효화하고 비대화형으로 테스트합니다.

sudo -k
sudo -n /usr/bin/systemctl restart nginx

이 -n옵션은 sudo 명령어에게 암호 입력 프롬프트를 표시하지 않도록 지시합니다. 규칙이 일치하면 암호를 묻지 않고 명령어가 실행됩니다. 인증이 여전히 필요한 경우, sudo는 입력을 기다리지 않고 오류와 함께 종료됩니다. 이 기능은 sudo -n암호 입력 프롬프트에서 절대 멈춰서는 안 되는 스크립트에 특히 유용합니다.

암호 없는 sudo 문제 해결

• 명령어가 여전히 암호를 요구합니다. 사용자 이름, 명령 경로 및 인수가 sudoers 항목과 정확히 일치하는지 확인하십시오.
• 해당 명령은 허용되지 않습니다.sudo -l 계정에 할당된 권한을 확인하려면 실행하세요 .
• 드롭인 파일이 무시되는 것 같습니다. 간단한 파일 이름(예: .)을 사용하세요 alex-nopasswd. 일부 sudoers 설정은 /etc/sudoers.d파일 이름에 점(.)이 포함되거나 백업 스타일 접미사로 끝나는 파일을 무시합니다.
• 변경 사항을 되돌려야 합니다. 드롭인을 다시 열고 sudo visudo -f /etc/sudoers.d/alex-nopasswd, 규칙을 제거하거나 범위를 좁힌 다음 저장하고 sudo visudo -c다시 실행하세요.

모범 사례

sudo 명령어를 암호 없이 사용하려면 엄격하게 제어되는 서비스 작업이나 자동화 작업과 같이 구체적인 필요가 있을 때만 사용하십시오. NOPASSWD: ALL가능한 한 정확한 명령 경로와 인수를 사용하고, sudo 명령어 사용을 피하며, sudoers 규칙은 작업에 필요한 최소한의 요소만 포함하도록 유지하십시오. 이렇게 하면 sudo의 보안 기능을 대부분 유지하면서도 정말 필요한 경우에만 암호 입력 창을 제거할 수 있습니다.