Rätt kod för att lösenordsbefria begränsad sudoer

[viper]

Jag har läst att man kan ge begränsad sudo behörighet genom att i med kommandot visudo redigera rättigheterna.

Om jag tex i /etc/sudoers lägger till pelle localhost = /usr/bin/, betyder det att att användaren pelle kan agera som root i /usr/bin och där endast.

Vad är då trixet för att pelle skall kunna utföra detta utan att ange lösenord?

På vilket sätt skriver jag: pelle /usr/bin/ = NOPASSWD: /usr/bin/?

Varför undrar nog en och annan. Jo, pelle skall agera lokal collector av filer som skall backas upp och läggas på annan plats i nätverket och för att kunna köras som script i cron måste detta ske utan lösenord?

EDIT: "pelle" heter egentligen någonting annat

[ubot]

http://www.gratisoft.us/sudo/visudo.man.html
https://help.ubuntu.com/community/Sudoers

[viper]

Om jag fattat den undre av ubots länktips rätt:

There are times where you need to have both NOPASSWD and NOEXEC or other tags on the same configuration line. The man page for sudoers is less than clear, so here is an example of how this is done:
myuser ALL = (root) NOPASSWD:NOEXEC: /usr/bin/vim
This example lets the user "myuser" run as root the "vim" binary without a password, and without letting vim shell out (the :shell command).

Skall följande ge pelle rätt att köra backup som root, dvs köra det angivna scriptet (och endast det angivna scriptet) för att "samla ihop" alla användares filer för extern backup:

pelle ALL = (root) NOPASSWD:NOEXEC: /väg/till/backupscript.sh

Vad finns för luckor i detta?

[ubot]

Jag vet inte faktiskt men det är en intressant fråga. Jag hoppas någon hjälper dig (oss) att få klarhet i det här.
Här är lite mer information: http://www.cyberciti.biz/tips/allow-a-n ... -root.html

[Johan Ryberg]

Det beror helt och hållet på hur t.ex. scriptet är utformat.

En risk är att t.ex. scriptet för backup ligger i %PATH% och att t.ex. vissa sökvägar inte är specifika utan t.ex. man använder gzip i scriptet utan hela sökvägen.

Detta i sin tur gör att om "Pelle" lägger ett eget script i sin hemmakatalog och döper det till gzip, chmod 777 samt lägger in lämplig kod som gör Pelle till administratör eller byter lösenord på root så kommer backupscriptet att köras som root, göra det som Pelle vill och sedan äger han burken.

Det är alltid en stor risk att tillåta användare att köra program med administratörsrättigheter och det krävs en hel del av administrationen om man ens funderar på att tillåta användare att få shell på en burk om man samtidigt inte litar på dem.

-- Johan

[viper]

Om jag säger att "pelle" egentligen heter något annat och endast finns till för att skyffla ihop information från användarna på klienten så att denna kan backas upp medelst "pull" på servern.
Förändrar det riskscenariot?
pelle behöver väl inte ens egen hemmamapp?

Verkar det virrigt?
Kan förklaras av att det är detta jag jobbar vidare på http://ubuntu-se.org/phpBB3/viewtopic.php?f=35&t=52385

[Johan Ryberg]

Råkade svara i din gamla tråd. Här kommer en upprepning

Låt cronjobbet som gör backup på varje maskin skicka över sin data med scp till backupservern. Då behöver bara backupjobbet köras i cron för root och servern som tar emot backuperna behöver inga speciella rättigheter mer än att agera filserver.

[ubot]

Här är info om cron job: https://help.ubuntu.com/community/CronHowto

Kod: Markera allt

sudo crontab -e