Правило проверяют от того, кому оно выдано, с двух сторон: разрешённый вызов работает, соседние — нет.
sudo -l -U имя покажет, что получилось в итоге из всех файлов. Потом — вызовы: sudo -u имя sudo -n команда для разрешённой команды и для соседней — другой аргумент, другой файл, другая программа. От student такую проверку не делают: его собственные правила разрешают всё, и отказа не будет.
Разреши одну команду
Дежурному labops нужно смотреть хвост журнала приложения. Разреши ему запускать от root без пароля ровно /usr/bin/tail -n 20 /srv/sudo-lab/app.log — и больше ничего. Правило положи в /etc/sudoers.d/labops; вся конфигурация sudo должна проходить проверку.
Цели · 0 из 3
- Разрешить labops один вызов tail от root ещё не выполнена
- Оставить запрещённым всё остальное ещё не выполнена
- Сохранить конфигурацию sudo исправной ещё не выполнена