evolix/wiki
22
0
Fork 0
Code Releases Activity

précision pour l'ordre des autorisations

Browse source
This commit is contained in:
jlecour 2018-02-21 22:19:58 +01:00
parent 1ffa84d5aa
commit 8886f531e6
1 changed files with 10 additions and 0 deletions
Show stats Download patch file Download diff file Expand all files Collapse all files

10
HowtoSudo.md
View file

@ -91,6 +91,16 @@ User_Alias ADMINS = jdoe, foo
ADMINS ALL = NOPASSWD: MAINT ADMINS ALL = NOPASSWD: MAINT
~~~ ~~~
Il est important de noter que les autorisations sont lues du haut vers le bas et en cas de contradiction, c'est la dernière qui "a raison".
Dans l'exemple ci-dessous, la commande `evomaintenance.sh` ne demandera **pas de mot de passe** car elle vient **après** l'autorisation globale **avec mot de passe** :
~~~
Cmnd_Alias MAINT = /usr/share/scripts/evomaintenance.sh
%foo ALL = (ALL:ALL) ALL
%foo ALL = NOPASSWD: MAINT
~~~
### sudoedit ### sudoedit
Si l'on veut autoriser l'édition d'un fichier de manière sécurisée, il ne faut pas autoriser les éditeurs comme _vi_, _less_… car ils permettent l'exécution d'autres actions, ce qui peut revenir à donner une autorisation complète. Il faut plutôt utiliser la commande spéciale `sudoedit` qui permet uniquement l'édition du fichier indiqué : toutes autres actions (exécution d'un shell, ouverture d'autres fichiers…) se feront avec les droits de l'utilisateur ayant exécuté sudo et non en tant que _root_. Si l'on veut autoriser l'édition d'un fichier de manière sécurisée, il ne faut pas autoriser les éditeurs comme _vi_, _less_… car ils permettent l'exécution d'autres actions, ce qui peut revenir à donner une autorisation complète. Il faut plutôt utiliser la commande spéciale `sudoedit` qui permet uniquement l'édition du fichier indiqué : toutes autres actions (exécution d'un shell, ouverture d'autres fichiers…) se feront avec les droits de l'utilisateur ayant exécuté sudo et non en tant que _root_.