Izinkan user1 untuk “su - user2” tanpa kata sandi

Saya perlu mengizinkan pengguna martinuntuk beralih ke pengguna martin-testtanpa kata sandi

su - martin-test

Saya pikir ini dapat dikonfigurasi dalam /etc/pam.d/su. Sudah ada beberapa baris dalam file itu yang bisa dibatalkan komentarnya. Namun, saya tidak suka ide menambahkan pengguna martinke grup wheel. Saya tidak ingin memberikan martinlebih banyak hak istimewa selain untuk dapat beralih ke martin-test. Saya juga tidak ingin menggunakan sudo.

Apa yang akan menjadi cara terbaik untuk melakukannya, sambil menjaga hak pengguna martinminimal?

Tambahkan baris berikut tepat di bawah pam_rootok.sogaris di /etc/pam.d/su:

auth  [success=ignore default=1] pam_succeed_if.so user = martin-test
auth  sufficient                 pam_succeed_if.so use_uid user = martin

Baris-baris ini melakukan pemeriksaan menggunakan pam_succeed_if.somodul. Lihat juga sintaksis file konfigurasi Linux-PAM untuk mempelajari lebih lanjut tentang authbaris.

• Cek baris pertama apakah target pengguna adalah martin-test. Jika ya, tidak ada yang terjadi ( success=ignore) dan kami melanjutkan di baris berikutnya untuk memeriksa pengguna saat ini . Jika tidak, baris berikutnya akan dilewati ( default=1) dan kami melanjutkan baris berikutnya dengan langkah otentikasi biasa.
• Baris kedua memeriksa apakah pengguna saat ini martin. Jika ya, sistem menganggap proses otentikasi sebagai berhasil dan mengembalikan ( sufficient). Jika tidak, tidak ada yang terjadi dan kami melanjutkan baris berikutnya dengan langkah otentikasi biasa.

Anda juga dapat membatasi suke grup, di sini grup allowedpeopledapat sutanpa kata sandi:

auth sufficient pam_succeed_if.so use_uid user ingroup allowedpeople

Jika Anda tidak ingin mengubah grup atau menggunakan sudo, gunakan modul pam yang dipanggil pam_execuntuk menjalankan skrip eksternal dalam tahap pam.

Tambahkan baris di Anda /etc/pam.d/susetelah pam_rootok.sobaris:

auth       sufficient pam_exec.so quiet /path/to/script

/path/to/script memiliki izin 755 (rwxr-xr-x) dan konten berikut:

#!/bin/bash
if [ "$PAM_TYPE" == "auth" ] && \
[ "$PAM_USER" == "martin-test" ] && \
[ "$PAM_RUSER" == "martin" ]; then
  exit 0
else
  exit 1
fi

Jadi skrip ini ada dengan sukses jika su:

• disebut dalam konteks otentikasi,
• pengguna panggilan adalah martindan
• pengguna untuk mengotentikasi adalah martin-test.

Lihat:

martin@host:~$ su - martin-test
martin-test@host:~$ exit
martin@host:~$ su - otheruser
Password: ****
otheruser@host:~$ 

Jika Anda tidak memiliki akses ke akun root, tetapi memiliki kata sandi pengguna yang ingin Anda gunakan untuk menjalankan perintah, Anda dapat melakukan hal berikut.

• Ini akan menanyakan kata sandi toto Anda: su - toto -c whoami
• Ini tidak akan: ssh toto @ localhost whoami

Cukup instal kunci publik Anda di otor_keys toto

Solusi sederhana saya adalah:

sudo login -f martin-test

Jika Anda ingin menghindari sudo dengan cara apa pun, saya pikir harus dimungkinkan untuk menempatkan ini dalam skrip:

1. dimiliki oleh root dan dengan privilege root (menggunakan flag setuid )
2. dieksekusi oleh semua orang, juga tanpa sudo.

Namun, saya tidak tahu chown rootdan chmod +s ToTest.shsedikit, untuk membuat ini benar-benar berfungsi:

#!/usr/bin/env bash
echo howdy, I am $(whoami)
sudo login -f martin-test

Saya masih berjalan sebagai pengguna normal saya, seperti gema memberitahu saya. Dan itu masih membutuhkan kata sandi sudo. Jika itu berjalan sebagai root, orang bisa menghapusnya dengan sudodi baris terakhir ...