Editando el fichero /etc/sudoers para delegar operaciones mediante el comando sudo
En la tira xkcd podemos ver la utilidad del comando sudo:
Mediante el comando sudo podemos realizar acciones como otro usuario. En el caso más sencillo se acostumbra a editar el ficher /etc/sudoers y añadir la siguiente linea:
usuario ALL=(ALL) ALL
Evidentement esto nunca se debe usar en un tan alegremente… Los tres ALLs significan que el “usuario” podrá, en orden:
- primer ALL: estando conectado desde cualquier maquina
- segundo ALL: cambiar a cualquier otro usuario
- tercer ALL: ejecuar qualquier comando
Este caso resulta útil quando se quiere equiparar el usuario con el perfil de root.
En el caso que no se así, que se quiera limitar, se puede hacer lo siguiente:
- El usuario maite pueda ejecutar cualquier comando como el usuario oracle:
maite ALL=(oracle) ALL
- El usuario maite pueda ejecutar cualquier comando como el usuario oracle si entra desde la red de la empresa:
maite 172.20.0.0/16=(oracle) ALL
- El usuario maite pueda ejecutar el comando sqlplus como el usuario oracle si entra desde la red de la empresa:
maite 172.20.0.0/16=(oracle) /oracle/product/10.0.2/db1/bin/sqlplus
En el caso que se quisiera aplicar el sudo a todo un grupo de usuarios se debería usar el carácter % para indicar que nos referimos a un grupo. Por ejemplo, si se quiere que el grupo dba pueda ejecutar cualquier comando, desde la red de la empresa, como el usuario mysql se debería definir lo siguiente en el /etc/sudoers:
%dba 172.20.0.0/16=(mysql) ALL
Relacionados
Imprimir
15. January 2010 at 4:39 am :
A pesar de ser un simple fichero de texto, muchas distros recomiendan modificar el fichero con el comando visudo que daría error si la sintaxis estuviera mal. Con el uso de EDITOR podríamos usar nano o joe por ejemplo si “vi” no nos fuera familiar.
Ej: # EDITOR=nano visudo
15. January 2010 at 9:04 am :
Ciertamente es mejor usar el visudo para el checkeo de integridad de la misma forma que es mejor editar el cron con un
En lugar de editar el correspondiente /var/spool/cron/usuario y luego hacer un SIGHUP al crond
Aún así, debo confesar que nunca me he terminado de acostumbrar a usar el visudo y suelo hacerlo con el vi
16. January 2010 at 3:51 am :
Eps, no había leído el artículo éste dónde ya lo explicas
18. January 2010 at 8:37 am :
Señal que debería encontrar una forma de ordenar el blog, ya que al tener ya más de 400 artículos sueltos puede ser difícil de encontrar las cosas. Tendré que ver algo para organizar un poco
saludos!