Cho phép user1 đến su su - user2 mà không cần mật khẩu

Tôi cần cho phép người dùng martinchuyển sang người dùng martin-testmà không cần mật khẩu

su - martin-test

Tôi nghĩ rằng điều này có thể được cấu hình trong /etc/pam.d/su. Đã có một số dòng trong tập tin đó có thể không bị thiếu. Tuy nhiên, tôi không thích ý tưởng thêm người dùng martinvào nhóm wheel. Tôi không muốn cung cấp martinbất kỳ đặc quyền nào hơn là có thể chuyển sang martin-test. Tôi cũng không muốn sử dụng sudo.

Điều gì sẽ là cách tốt nhất để làm điều đó, trong khi vẫn giữ các đặc quyền của người dùng martintối thiểu?

Thêm các dòng sau ngay bên dưới pam_rootok.sodòng trong /etc/pam.d/su:

auth  [success=ignore default=1] pam_succeed_if.so user = martin-test
auth  sufficient                 pam_succeed_if.so use_uid user = martin

Những dòng này thực hiện kiểm tra bằng cách sử dụng pam_succeed_if.somô-đun. Xem thêm cú pháp tệp cấu hình Linux-PAM để tìm hiểu thêm về các authdòng.

• Dòng đầu tiên kiểm tra xem người dùng mục tiêu là martin-test. Nếu có, không có gì xảy ra ( success=ignore) và chúng tôi tiếp tục trên dòng tiếp theo để kiểm tra người dùng hiện tại . Nếu không, dòng tiếp theo sẽ bị bỏ qua ( default=1) và chúng tôi tiếp tục trên các dòng tiếp theo với các bước xác thực thông thường.
• Dòng thứ hai kiểm tra xem người dùng hiện tại là martin. Nếu có, hệ thống coi quá trình xác thực là thành công và trả về ( sufficient). Nếu không, không có gì xảy ra và chúng tôi tiếp tục các dòng tiếp theo với các bước xác thực thông thường.

Bạn cũng có thể giới hạn sutrong một nhóm, ở đây nhóm allowedpeoplecó thể sukhông có mật khẩu:

auth sufficient pam_succeed_if.so use_uid user ingroup allowedpeople

Nếu bạn không muốn thay đổi nhóm hoặc sử dụng sudo, hãy sử dụng mô-đun pam được gọi pam_execđể thực thi các tập lệnh bên ngoài trong giai đoạn pam.

Thêm một dòng trong dòng của bạn /etc/pam.d/susau pam_rootok.sodòng:

auth       sufficient pam_exec.so quiet /path/to/script

/path/to/script có quyền 755 (rwxr-xr-x) và nội dung sau:

#!/bin/bash
if [ "$PAM_TYPE" == "auth" ] && \
[ "$PAM_USER" == "martin-test" ] && \
[ "$PAM_RUSER" == "martin" ]; then
  exit 0
else
  exit 1
fi

Vì vậy, kịch bản này tồn tại với thành công nếu su:

• được gọi trong bối cảnh xác thực,
• người dùng gọi martinvà
• người dùng để xác thực là martin-test.

Xem:

martin@host:~$ su - martin-test
martin-test@host:~$ exit
martin@host:~$ su - otheruser
Password: ****
otheruser@host:~$ 

Nếu bạn không có quyền truy cập vào tài khoản root, nhưng có mật khẩu của người dùng bạn muốn sử dụng để chạy lệnh, bạn có thể làm như sau.

• Điều này sẽ hỏi bạn mật khẩu của toto: su - toto -c whoami
• Điều này sẽ không: ssh toto @ localhost whoami

Chỉ cần cài đặt khóa công khai của bạn trong ủy quyền_key của toto

Giải pháp đơn giản của tôi là:

sudo login -f martin-test

Nếu bạn muốn tránh sudo bằng mọi giá, tôi nghĩ có thể đưa điều này vào một kịch bản:

1. được sở hữu bởi root và với quyền root (sử dụng cờ setuid )
2. thực thi bởi tất cả mọi người, cũng không có bất kỳ sudo.

Tuy nhiên, tôi không thể tìm ra chown rootvà chmod +s ToTest.shbit, để làm cho điều này thực sự hoạt động:

#!/usr/bin/env bash
echo howdy, I am $(whoami)
sudo login -f martin-test

Tôi vẫn chạy như người dùng bình thường của tôi, như tiếng vang cho tôi biết. Và nó vẫn yêu cầu mật khẩu sudo. Nếu nó đang chạy với quyền root, người ta có thể loại bỏ sudodòng cuối cùng ...