Debian: Cum să adaugi un utilizator în Sudoers în siguranță

Pe Debian, cea mai simplă și sigură metodă de a acorda unui utilizator existent acces administrativ complet este de obicei adăugarea contului respectiv la sudogrup. Configurația implicită sudo a Debian permite membrilor acelui grup să execute comenzi prin sudo. În mod normal, nu este nevoie să editați /etc/sudoersdirect.

Dacă ați lăsat parola de root necompletată în timpul instalării Debian, programul de instalare dezactivează în mod normal autentificarea directă ca root și acordă primului utilizator obișnuit drepturi administrative prin sudo. Dacă setați în schimb o parolă de root, este posibil ca sudo să nu fie instalat sau ca utilizatorul dvs. să nu aparțină grupului sudo. Debian documentează ambele configurări în ghidul sudo .

Verificați dacă utilizatorul dvs. are deja acces sudo

Deschide un terminal și verifică grupurile atribuite contului tău:

groups

Dacă sudoapare în rezultat, testați configurația:

sudo whoami

După ce introduceți propria parolă, ar trebui să se afișeze o versiune funcțională a configurației root. Dacă shell-ul spune sudo: command not found, instalați pachetul ca root. Dacă spune că utilizatorul nu are permisiunea de a rula sudo, adăugați contul la sudogrup.

1. Devino root și instalează sudo dacă este necesar

Dacă știi parola de root, pornește un shell de autentificare root:

su --login

Apoi instalați sudo cu APT:

apt update
apt install sudo

Referința Debian descrie sudo ca instrumentul standard pentru delegarea privilegiilor administrative fără a lucra tot timpul într-un shell root.

2. Adăugați utilizatorul la grupul sudo al Debian

Tot ca root, înlocuiește alicecu contul care ar trebui să primească acces sudo:

adduser alice sudo

Puteți utiliza și usermod -aG sudo alice, dar forma specifică Debian adduser USER GROUPeste simplă și evită înlocuirea accidentală a altor grupuri suplimentare ale unui utilizator.

3. Deconectați-vă, conectați-vă din nou și verificați accesul

Noile calități de membru al unui grup nu se aplică în mod normal unei sesiuni de conectare deja deschise. Deconectați-vă complet de pe desktop sau de pe sesiunea SSH și conectați-vă din nou. Apoi verificați contul și testați comanda sudo:

groups alice
sudo whoami

Dacă utilizatorul tocmai a fost adăugat, dar sudo încă raportează că acel cont nu are permisiunea de a executa o comandă, o sesiune de conectare veche este o cauză frecventă. Documentația sudo a Debian menționează în mod specific că apartenența la grup devine activă la conectare.

Opțional: creați o regulă sudoers per utilizator

Pentru majoritatea sistemelor Debian, metoda de grupare de mai sus este tot ce aveți nevoie. O regulă per utilizator este utilă atunci când doriți în mod deliberat o politică sudo separată. Nu deschideți fișierul /etc/sudoersîntr-un editor obișnuit. Manualul visudo explică faptul că visudoblochează fișierul și verifică sintaxa acestuia înainte de a instala modificările.

Ca utilizator root, creați un fișier dedicat cu un nume simplu, fără punct:

visudo -f /etc/sudoers.d/alice

Pentru a oferi aliceaceleași capacități administrative complete ca un utilizator sudo obișnuit, adăugați:

alice ALL=(ALL:ALL) ALL

Salvați și ieșiți din editor, apoi validați configurația completă a sudoers:

visudo -c

Debian recomandă păstrarea regulilor personalizate locale în fișierul principal, /etc/sudoers.dîn loc să modifice fișierul principal. Manualul sudoers menționează, de asemenea, că fișierele din acest director ale căror nume conțin un punct sau se termină în ~sunt omise, deci un nume precum aliceeste mai sigur decât alice.conf.

Cum se elimină accesul sudo

Pentru a revoca accesul acordat prin intermediul sudogrupului, executați următoarea comandă ca root:

deluser alice sudo

Manualul Debian pentru deluser confirmă faptul că forma cu două argumente elimină un utilizator dintr-un anumit grup. Rugați utilizatorul să se deconecteze și să se conecteze din nou pentru ca noua listă de grupuri să aibă efect.

Dacă ați creat și /etc/sudoers.d/alice, eliminarea contului din grup nu este suficientă deoarece regula separată acordă în continuare privilegii. Eliminați sau editați regula respectivă ca root, apoi rulați visudo -cdin nou.

Greșeli frecvente de evitat

• Nu editați /etc/sudoerscu un editor de text obișnuit. O eroare de sintaxă poate bloca accesul sudo.
• Nu utilizați usermod -G sudo USERfără -a. Acea formă poate înlocui lista suplimentară de grupuri a utilizatorului în loc să adauge pur și simplu comanda sudo.
• Nu activați NOPASSWDdin întâmplare. Activarea completă a comenzii sudo fără parolă crește impactul unui cont de utilizator compromis.
• Rețineți cerința de conectare proaspătă. Adăugarea sau eliminarea unui grup nu modifică retroactiv acreditările unei sesiuni existente.

Prin urmare, pentru o stație de lucru sau un server Debian standard, calea recomandată este simplă: instalați sudo dacă este necesar, adăugați contul la sudogrup, începeți o nouă sesiune de conectare și verificați rezultatul înainte de a închide shell-ul root.