Пользователи, права, процессы / Ступень 8 из 13

Делегирование команд через sudo

Не запущена Запускается обычно ~20 с

Шаг 6 из 8 · лаба · 10 мин

Выдать пользователю sudo

Новому администратору deploy нужны права sudo. Настрой доступ штатно и безопасно.

Ситуация

В команду пришёл новый администратор. Учётная запись deploy уже создана, но sudo её не пускает: sudo -l -U deploy печатает, что deploy запускать sudo нельзя.

Задача

Сделай так, чтобы:

у deploy было право запускать через sudo любые команды, как у администратора, а сама запись осталась обычной, со своим UID;
конфигурация sudo осталась исправной: sudo visudo -c проходит без ошибок, а файлы в /etc/sudoers.d/ принадлежат root:root и имеют права 0440.

Права deploy проверяет sudo -l -U deploy. Пароля у deploy пока нет, поэтому вызов от его имени — sudo -u deploy sudo -n … — попросит пароль даже с правами: это не отказ.

Нужные инструменты уже установлены. Интернета на машине нет.

Лаба · самостоятельно

Команды в этой лабе не даны: набирай их в терминале сам. Цели проверяются на машине после каждой команды.

Цели

0 из 2

У пользователя deploy есть право sudo — ещё не выполнена
Конфигурация sudo проходит visudo -c, файлы в /etc/sudoers.d — root:root с правами 0440 — ещё не выполнена

Ctrl+Enter

Запустит машину node1 · Ubuntu 24.04

Машина запускается

Подсказки

0 из 3

Сообщить о проблеме

Цели лабы

0 из 2

У пользователя deploy есть право sudo — ещё не выполнена
Конфигурация sudo проходит visudo -c, файлы в /etc/sudoers.d — root:root с правами 0440 — ещё не выполнена

node1 Ubuntu 24.04

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Цели лабы

0 из 2

У пользователя deploy есть право sudo — ещё не выполнена
Конфигурация sudo проходит visudo -c, файлы в /etc/sudoers.d — root:root с правами 0440 — ещё не выполнена

Безопасность · подобрано по лабе

sudo — выполнение команд от другого пользователя

Шпаргалка

$_ — вставить в терминал

sudo apt update выполнить команду от root
sudo -u postgres psql выполнить от другого пользователя
sudo -i интерактивный root-shell
sudo -l что мне разрешено
sudoedit /etc/nginx/nginx.conf безопасно править root-файл
sudo visudo -f /etc/sudoers.d/10-x править правила sudoers

sudoers

Право даёт членство в группе sudo (Ubuntu) / wheel (RHEL), либо явное правило. Никогда не редактируй sudoers напрямую — только через visudo (проверяет синтаксис, иначе можно потерять sudo):

bash

sudo visudo                       # основной файл /etc/sudoers
sudo visudo -f /etc/sudoers.d/90-deploy   # отдельный drop-in (рекомендуется)
sudo visudo -c                    # проверить синтаксис всех файлов

Формат правила и алиасы:

# кто   где = (от кого)      что
alice   ALL = (ALL:ALL)      ALL
deploy  ALL = (root) NOPASSWD: /bin/systemctl restart myapp, /bin/systemctl status myapp
%devs   ALL = (root)         /usr/bin/apt        # %группа
Cmnd_Alias SERVICES = /bin/systemctl restart nginx, /bin/systemctl reload nginx
web     ALL = (root) NOPASSWD: SERVICES

NOPASSWD: — без запроса пароля (для автоматизации; держи область узкой!).

Опции и sudoedit

Полезные Defaults (в /etc/sudoers.d/):

Defaults        env_reset                          # чистое окружение (безопасно)
Defaults        secure_path="/usr/sbin:/usr/bin:/sbin:/bin"
Defaults        timestamp_timeout=15               # минут кэш пароля (0 = всегда спрашивать)
Defaults:deploy !requiretty
Defaults        logfile="/var/log/sudo.log"        # отдельный лог

bash

sudo -E cmd                       # сохранить переменные окружения (если разрешено)
sudoedit /etc/nginx/nginx.conf    # = sudo -e: править root-файл своим $EDITOR безопасно
sudo -v                           # продлить кэш пароля (для длинных скриптов)

sudoedit правит копию от твоего имени и атомарно кладёт назад — безопаснее, чем sudo vim (не запускает редактор от root).

user is not in the sudoers file

Пользователя нет в группе sudo. От root: usermod -aG sudo alice (нужен релогин, см. users-groups).

sudo: a terminal is required to read the password

Нет TTY (по SSH без -t или из скрипта). Варианты: NOPASSWD для нужной команды, ssh -t, либо sudo -S (пароль из stdin).

NOPASSWD не срабатывает для смены пользователя

(root) NOPASSWD: ALL разрешает команды от root, но не sudo -u other. Для смены без пароля — правило (other) или sudo runuser -u other -- cmd.

Команда работает руками, но не через sudo (PATH/env)

env_reset/secure_path чистят окружение. Зови по полному пути или настрой secure_path; для переменных — sudo -E (если разрешено).

Сломал sudoers, потерял доступ

visudo не даст сохранить файл с ошибкой. Если всё же потерял — зайди через root-консоль (recovery/гипервизор) и поправь.

NOPASSWD без узкой команды в правиле (NOPASSWD: ALL вместо конкретного пути) даёт полный доступ к root без единой проверки — держи область правила максимально узкой, особенно для сервисных учёток. Правь sudoers только через visudo: он проверяет синтаксис перед сохранением, а прямая правка файла редактором может оставить систему без единого рабочего способа получить root.