Пользователи, права, процессы / Ступень 8 из 13 · шаг 6 из 8

Выдать пользователю sudo

~10 мин

Не запущена Запускается обычно ~20 с

Ситуация

В команду пришёл новый администратор. Учётная запись deploy уже создана, но sudo её не пускает: sudo -l -U deploy печатает, что deploy запускать sudo нельзя.

Задача

Сделай так, чтобы:

у deploy было право запускать через sudo любые команды, как у администратора, а сама запись осталась обычной, со своим UID;
конфигурация sudo осталась исправной: sudo visudo -c проходит без ошибок, а файлы в /etc/sudoers.d/ принадлежат root:root и имеют права 0440.

Права deploy проверяет sudo -l -U deploy. Пароля у deploy пока нет, поэтому вызов от его имени — sudo -u deploy sudo -n … — попросит пароль даже с правами: это не отказ.

Нужные инструменты уже установлены. Интернета на машине нет.

Цели лабы

0 из 2

У пользователя deploy есть право sudo — ещё не проверялась
Конфигурация sudo проходит visudo -c, файлы в /etc/sudoers.d — root:root с правами 0440 — ещё не проверялась

Подсказки

открыто 0 из 3 · открываются по одной

Подсказка 1

Показать решение после 3 неудачных проверок

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Безопасность · подобрано по лабе

sudo — выполнение команд от другого пользователя

Шпаргалка

$_ — вставить в терминал

sudo apt update выполнить команду от root
sudo -u postgres psql выполнить от другого пользователя
sudo -i интерактивный root-shell
sudo -l что мне разрешено
sudoedit /etc/nginx/nginx.conf безопасно править root-файл
sudo visudo -f /etc/sudoers.d/10-x править правила sudoers

sudoers

Право даёт членство в группе sudo (Ubuntu) / wheel (RHEL), либо явное правило. Никогда не редактируй sudoers напрямую — только через visudo (проверяет синтаксис, иначе можно потерять sudo):

bash

sudo visudo                       # основной файл /etc/sudoers
sudo visudo -f /etc/sudoers.d/90-deploy   # отдельный drop-in (рекомендуется)
sudo visudo -c                    # проверить синтаксис всех файлов

Формат правила и алиасы:

# кто   где = (от кого)      что
alice   ALL = (ALL:ALL)      ALL
deploy  ALL = (root) NOPASSWD: /bin/systemctl restart myapp, /bin/systemctl status myapp
%devs   ALL = (root)         /usr/bin/apt        # %группа
Cmnd_Alias SERVICES = /bin/systemctl restart nginx, /bin/systemctl reload nginx
web     ALL = (root) NOPASSWD: SERVICES

NOPASSWD: — без запроса пароля (для автоматизации; держи область узкой!).

Опции и sudoedit

Полезные Defaults (в /etc/sudoers.d/):

Defaults        env_reset                          # чистое окружение (безопасно)
Defaults        secure_path="/usr/sbin:/usr/bin:/sbin:/bin"
Defaults        timestamp_timeout=15               # минут кэш пароля (0 = всегда спрашивать)
Defaults:deploy !requiretty
Defaults        logfile="/var/log/sudo.log"        # отдельный лог

bash

sudo -E cmd                       # сохранить переменные окружения (если разрешено)
sudoedit /etc/nginx/nginx.conf    # = sudo -e: править root-файл своим $EDITOR безопасно
sudo -v                           # продлить кэш пароля (для длинных скриптов)

sudoedit правит копию от твоего имени и атомарно кладёт назад — безопаснее, чем sudo vim (не запускает редактор от root).

user is not in the sudoers file

Пользователя нет в группе sudo. От root: usermod -aG sudo alice (нужен релогин, см. users-groups).

sudo: a terminal is required to read the password

Нет TTY (по SSH без -t или из скрипта). Варианты: NOPASSWD для нужной команды, ssh -t, либо sudo -S (пароль из stdin).

NOPASSWD не срабатывает для смены пользователя

(root) NOPASSWD: ALL разрешает команды от root, но не sudo -u other. Для смены без пароля — правило (other) или sudo runuser -u other -- cmd.

Команда работает руками, но не через sudo (PATH/env)

env_reset/secure_path чистят окружение. Зови по полному пути или настрой secure_path; для переменных — sudo -E (если разрешено).

Сломал sudoers, потерял доступ

visudo не даст сохранить файл с ошибкой. Если всё же потерял — зайди через root-консоль (recovery/гипервизор) и поправь.

NOPASSWD без узкой команды в правиле (NOPASSWD: ALL вместо конкретного пути) даёт полный доступ к root без единой проверки — держи область правила максимально узкой, особенно для сервисных учёток. Правь sudoers только через visudo: он проверяет синтаксис перед сохранением, а прямая правка файла редактором может оставить систему без единого рабочего способа получить root.