�@�O���́A���ׂẴR�}���h���g�p�ł��Ă��܂��������[�U�[�i�X�[�p�[���[ �U�[�j�̗��p�����ɂ��Đ��������B����́A���������������[�U�[���ʏ�s��su�̃Z�L�����e�B��̖��_��sudo�̊�{�I�Ȏg�����ɂ��ďЉ��B
�@su�R�}���h�́A�ă��O�C���ɂȂ���root�Ɍ��炸�C�ӂ̃��[�U�[�ɃX�C�b�`���邱�Ƃ��ł���Ƃ����A�ƂĂ��֗��ȃR�}���h���B�������A�����su�R�}���h�ɂ́A�ȉ��Ɏ����悤�Ȃ��Ƃ����O����Ă���B
��root�̃p�X���[�h����͂���K�v������
�@su�R�}���h�́A���s���ɃX�C�b�`���郆�[�U�[�̃p�X���[�h����͂���K�v������B�Ⴆ��telnet�Ń����[�g���O�C����1����su root�����ꍇ�A���R�̂��ƂȂ���l�b�g���[�N��ɂ�root�̃p�X���[�h������Ă��܂����߁A�����ꓐ�����ꂽ�ꍇ�ɃV�X�e���S�̂���������\���������Ȃ�B�܂��Asu root�����s�ł��郆�[�U�[�Ԃ�root�̃p�X���[�h�����L���邱�ƂɂȂ�̂ŁA���L����l����������Α����ق�root�p�X���[�h�̘R�����̊댯�����������ƂɂȂ�B
��su������̎��s�R�}���h�����O�Ɏc��Ȃ�
�@su�����s����ƔC�ӂ̃��[�U�[�����ŃV�F�������s���邪�A�V�F�������s������̊e�R�}���h�̎��s���������O�Ɏc��Ȃ��B�Ⴆ�A�����ꂪroot�����ł��̃R�}���h�����s�����̂�������ł��Ȃ��B��2
���R�}���h�P�ʂŌ����𐧌��ł��Ȃ�
�@su�R�}���h�́A����R�}���h�̂�su�̎��s����������A�֎~�����肷�邱�Ƃ��ł��Ȃ��B�Ⴆ��su root����ƁA�X�C�b�`����root���[�U�[�̃V�F���������^�����A���̏�Ŏ��s���邷�ׂẴR�}���h��root�����œ��삷�邱�ƂɂȂ�B
�@�ȏ�̂悤��su�R�}���h�Ō��O����Ă���_�����P���邽�߁A�{�e�ł�sudo���g�����Ǘ��ғ����̗��p�����ɂ��Đ�������B
�@sudo�isuperuser do�j�́A���郆�[�U�[���ʂ̃��[�U�[�Ƃ��ăR�}���h�����s�ł���悤�ɂ��邽�߂̃R�}���h���B��q��su�R�}���h�ƖړI�͓��������A�Z�L�����e�B�ʂł�sudo�̕�����苭������Ă���B
�@sudo�̃��C���y�[�W�ihttp://www.courtesan.com/sudo/�j��~���[�T�C�g����sudo�̃\�[�X��RPM�łȂǂ��_�E�����[�h���C���X�g�[������i�t�@�C���̐������`�F�b�N���Y�ꂸ�s�����Ɓj�B ports��pkgsrc�̏ꍇ��security/sudo����C���X�g�[������B
�@�Ȃ��Asudo�̃o�[�W����1.6.5p2�܂łɂ̓Z�L�����e�B�z�[�����܂܂�Ă���̂ōŐV�ł���肷�邱�ƁB�ȉ��̓\�[�X����R���p�C�������Ⴞ�B
% gunzip -cd < sudo-1.6.7p5.tar.gz | tar xvf - % cd sudo-1.6.7p5 % ./configure % make # make install
�@�R���p�C���Ŏ�Ԃǂ����Ƃ͂Ȃ����낤���A�ڍׂɂ��Ă͓W�J���INSTALL�t�@�C�����Q�Ƃ���Ƃ悢���낤�B
�@�C���X�g�[��������������A���Ƃ͎��ۂ�sudo�R�}���h���g���Ă݂�Bsudo�R�}���h�̏������ȉ��Ɏ����B
sudo�R�}���h�̏��� |
---|
sudo�m�I�v�V�����n�R�}���h |
sudo�R�}���h�̎�ȃI�v�V���� | �w�肷����e |
---|---|
-l | ���݂̐ݒ��\�� |
-L | sudo�̃f�t�H���g�ݒ�l�i�ϐ��j��\�� |
-u | user|#uid �R�}���h�̎��s���[�U�[����������UID���w�肷��B�ȗ������ꍇroot�����肳��� |
-s | �V�F�������s����Bsu�Ɠ����悤�Ȍ`�� |
�@�����Ő��������ȊO�ɂ��������I�v�V����������̂ŁAman sudo�Ŋm�F���Ă����Ƃ悢���낤�B
�@��{�I�Ȏg�������o�����炠�Ƃ͎��ۂɎg�����������A�f�t�H���g�̐ݒ�ł͈�ʃ��[�U�[��sudo�𗘗p�ł��Ȃ��B�Ⴆ�A�ȉ��̂悤��root�����ǂ߂Ȃ��t�@�C���i/var/log/secure�j��sudo���g���ēǂ����Ƃ���ƁA���ۃ��b�Z�[�W���\������A�Ǘ��҂��ĂɃ��[�����͂����ƂɂȂ�i�f�t�H���g�j�B
% ls -l /var/log/secure -rw------- 1 root wheel 0 Apr 8 2003 /var/log/secure
�@sudo�R�}���h���s���ۂ̗l�q
% sudo less /var/log/secure We trust you have received the usual lecture from the local System Administrator. It usually boils down to these two things: �@#1) Respect the privacy of others. �@#2) Think before you type. Password: kimu�̃p�X���[�h����� kimu is not in the sudoers file. This incident will be reported.
�@�܂��A���ۃ��b�Z�[�W�Ɠ����ɁAroot���ĂɈȉ��̂悤�ȃ��[�����͂��B
From: kimu To: root Subject: *** SECURITY information for atmarkit.example.co.jp *** atmarkit.example.co.jp : Oct 8 03:35:19 : kimu : user NOT in sudoers ; TTY=ttyp7 ; PWD=/home/kimu ; USER=root ; COMMAND=/usr/bin/less /var/log/secure
�@����ɂ́Asudo�Ŏ��s�������ʂ́A���O�i/var/log/messages�Ȃǁj�ɂ��L�^�����B
Oct 8 03:35:19: atmarkit sudo: kimu : TTY=ttyp7 ; PWD=/home/kimu ; USER=root ; COMMAND=/usr/bin/less /var/log/secure
�@���������������Ƃ���A�f�t�H���g�̐ݒ�ł�root�ȊO�����sudo���g���Ȃ���ԂȂ̂ŁA���Ɏ����ݒ肪�K�v�ɂȂ�B
�@�f�t�H���g�ł�root�ȊO��sudo���g���Ȃ��B���̂��߁A�ŏ��Ɋ�{�I�Ȑݒ肩��s���B�Ⴆ��su�ōs�����悤�ɁAwheel�O���[�v�ɑ����郆�[�U�[�ɑ���sudo�̗��p������^����悤�ɐݒ��ύX���Ă݂�B
�@sudo�̐ݒ�́Asudoers�t�@�C���ōs���B������sudoers�t�@�C����ҏW����ɂ́Avi�Ȃǂ̃G�f�B�^�Œ��ڕҏW����̂ł͂Ȃ��Asudo�̃����e�i���X�R�}���h�ł���visudo�R�}���h���g���悤�ɂ���B
# visudo
�@ visudo�́Asudoers�t�@�C���̃��b�N��\���`�F�b�N��3�Ȃǂ��s���Ă����֗��ȃR�}���h�ŁA�t�@�C���̕ҏW�ɂ́A���ϐ���EDITOR �ɃZ�b�g����Ă���G�f�B�^���g�p�����B
��3
sudoers�t�@�C���̋L�q���ԈႦ��ƈȉ��̂悤�ȃG���[���\������Asudoers���ĕҏW����ǂ��������B
>>> sudoers file: syntax error, line 28 <<<
What now�H
�gWhat now�H�h �ɑ���e����͂���ƕҏW���[�h�ɖ߂�B
�@wheel�O���[�v��������ݒ�́A���炩���߃R�����g�A�E�g�i�擪��#���t���j����Ă��邾���Ȃ̂ŁA�ȉ��Ɏ����Ƃ���s����#����菜���ĕۑ��A�I������悢�B
%wheel ALL=(ALL) ALL
�@wheel�O���[�v��kimu��lj����A������x�����悤��sudo�������Ă݂�B
% sudo less /var/log/secure Password: kimu�̃p�X���[�h�����
�@ �������ݒ肳��Ă���Aless��/var/log/secure�t�@�C���̒��g��ǂނ��Ƃ��ł���͂����B
�@���āA�����܂łŋC�t������������Ȃ����A�`���ɏq�ׂ�su�R�}���h�Ō��O����Ă����_���A2�قǃN���A����Ă��邱�Ƃ�������B
1�Droot�p�X���[�h�̕s�v
su root�����s����ꍇ�́Aroot�̃p�X���[�h���K�v�ɂȂ邪�Asudo�ł́Asudo�����s�������[�U�[�̃p�X���[�h�����������Ă���悢�̂ŁA�e���[�U�[�Ԃ�root�̃p�X���[�h�����L����K�v���Ȃ��Ȃ�Bsu root�����s����ꍇ�́Aroot�̃p�X���[�h���K�v�ɂȂ邪�Asudo�ł́Asudo�����s�������[�U�[�̃p�X���[�h�����������Ă���悢�̂ŁA�e���[�U�[�Ԃ�root�̃p�X���[�h�����L����K�v���Ȃ��Ȃ�B
2�D���s�����R�}���h�̗���ۑ�
sudo�Ŏ��s�����R�}���h�̗����̓��O�t�@�C���isyslog�j�ɋL�^�����B
Oct 8 03:35:19: atmarkit sudo: kimu : TTY=ttyp7 ; PWD=/home/kimu ; USER=root ; COMMAND=/usr/bin/less /var/log/secure
��L�̗�ł́A���[�U�[kimu���^�[�~�i��ttyp7����less�R�}���h��/var/log/secure�t�@�C�����Q�Ƃ������ʂ��BPWD�͂ǂ̃f�B���N�g���ォ��R�}���h�����s�������AUSER�͂ǂ̃��[�U�[�����ŃR�}���h�����s�����̂����L�^�����B
�������A���O�ւ̕ۑ���sudo�����s����邽�тɍs���邪�Asudo -s��sudo su�ŃV�F���������擾���A���̏�Ŏ��s�����R�}���h�ɂ��Ă͋L�^����Ȃ����Ƃɒ��ӂ���K�v������B
�@�c���1�i�R�}���h�P�ʂŌ����𐧌��j�ɂ��ẮA���Ő�������B
�@sudo��L�����p���邽�߂ɂ́A����Ă���@�\�̎d�g�݂ƍ\���𗝉����Ă����K�v������B
���G�C���A�X�i�ʖ��j�@�\
�@sudoers�ɂ́A����4�^�C�v�̃G�C���A�X���`�ł���B
�G�C���A�X�^�C�v | �p�r |
---|---|
User_Alias | ���[�U�[���̕ʖ����`���� |
Runas_Alias | ���s���[�U�[���̕ʖ����`���� |
Host_Alias | �ڑ����z�X�g�̕ʖ����`���� |
Cmnd_Alias | ���s����R�}���h�̕ʖ����`���� |
�@�Ⴆ�AUser_Alias���g�����ƂŁA�����̃��[�U�[������1�̖��O�Ƃ��ăO���[�v�������邱�Ƃ��ł���B�e�G�C���A�X�̏����͈ȉ��̂Ƃ���ƂȂ�B
User_Alias NAME = User_List [: NAME = User_List]�c�c Runas_Alias NAME = Runas_List [: NAME = Runas_List]�c�c Host_Alias NAME = Host_List [: NAME = Host_List]�c�c Cmnd_Alias NAME = Cmnd_List [: NAME = Cmnd_List]�c�c
�@�G�C���A�X�^�C�v���`�G�C���A�X�iNAME�j�́A�啶����A-Z�A�����A�A���_�[�o�[�i_�j���g�p����B�����Đ擪�����͕K��A�`Z�Ŏn�܂�K�v������B
�@�ȉ��Ɋe�G�C���A�X�̎g�p��������B
User_Alias WEBMASTER = kimu, yasu, foobar Runas_Alias OP = root, operator Host_Alias INTERNAL = 192.168.0.0/24 Host_Alias EXTERNAL = 172.16.0.1, 172.16.0.10 Cmnd_Alias DUMPS = /bin/mt, /sbin/dump, /sbin/rdump, \ /sbin/restore, /sbin/rrestore Cmnd_Alias SHUTDOWN = /sbin/halt, /sbin/shutdown, /sbin/poweroff, \ /sbin/reboot, /sbin/fastboot, /sbin/init
�@1�s�ڂ�User_Alias�ł́A�G�C���A�X��WEBMASTER�ɁA���ꂼ��kimu�Ayasu�Afoobar��3�̃��[�U�[�������蓖�ĂĂ���B
�@2�s�ڂ�Runas_Alias�ł́A�G�C���A�X��OP�ɁAroot�����operator�Ƃ����R�}���h�̎��s���[�U�[�����蓖�ĂĂ���B
�@3�A4�s�ڂ�Host_Alias�ł́A�G�C���A�X��INTERNAL��192.168.0.0/24�Ƃ����l�b�g���[�N���A�G�C���A�X��EXTERNAL��172.16.0.1�����172.16.0.10�Ƃ���IP�A�h���X�����z�X�g�����ꂼ�ꊄ�蓖�ĂĂ���B
�@5�A6�s�ڂ�Cmnd_Alias�ł́A�G�C���A�X��DUMPS�Ƀo�b�N�A�b�v���̎悷�邽�߂ɕK�v�ȃR�}���h�Q�i/bin/mt�A/sbin/dump�Ȃǁj�����蓖�āA�G�C���A�X��SHUTDOWN��OS���N���E��~���邽�߂ɕK�v�ȃR�}���h�Q�����蓖�ĂĂ���B
�������Ώۃ��[�U�[�̒�`
�@���胆�[�U�[��O���[�v�A����ɂ͑O�q��User_Alias�Ŏw�肵�����e����ɁAsudo�ŗ��p�ł��郆�[�U�[�A�ڑ����z�X�g�A�R�}���h�Ȃǂ𐧌�����B�����͈ȉ��̂Ƃ���ƂȂ�B
User_Spec User_List Host_List = (Runas_List) (NOPASSWD: | PASSWD:)? Cmnd_List
�@�g?�h ���t������Ă��鍀�ڂ́A�ȗ��\�ł��邱�Ƃ��Ӗ����Ă���B
�@�ȉ��ɑO�q�̃G�C���A�X���܂߂����p�����̊ȒP�ȗ�������B
Host_Alias INTERNAL = 192.168.0.0/24 Cmnd_Alias REBOOT = /sbin/reboot kimu ALL = (ALL) ALL %wheel ALL = (ALL) ALL yasu ALL = (www) /usr/bin/su foobar INTERNAL = (root) REBOOT
�@1�A2�s�ڂ́A��q�̃G�C���A�X�̐����ŁA�����Ώۃ��[�U�[�̒�`�͋�s���͂���4�s�ڂ���n�܂�B
�@4�s�ڂ̃��[�U�[kimu�́A���ׂĂ̐ڑ����iALL�j����A���ׂẴ��[ �U�[�����i�iALL�j�j�ŁA���ׂẴR�}���h�iALL�j�����s�ł���B
�@5�s�ڂ̃O���[�v%wheel��4�s�ڂƓ��l�̂��Ƃ��s����B
�@6�s�ڂ̃��[�U�[yasu�́A���ׂĂ̐ڑ����iALL�j����A���[�U�[www�̌����Łi�iwww�j�j�A�R�}���h/usr/bin/su�̂ݎ��s�ł���B
�@7�s�ڂ̃��[�U�[foobar�́AINTERNAL�̐ڑ�������A���[�U�[root�̌����Łi�iroot�j�j�AREBOOT�Œ�`���ꂽ�R�}���h�i/sbin/reboot�j�̂ݎ��s�ł���B
�@�ȏ�̎g�p�Ⴉ��A�ǂ��������ݒ���s���̂����I�ɗ������Ă����������Ǝv���B���̂ق���sudoers�̐ݒ��ڍׂɂ��ẮAsudo�̃I�����C���}�j���A���iman sudoers�j�Ŋm�F���Ăق����B
�@��Ɩ��T�[�o�Ƃ��Ȃ�ƁA�����ɉ����ĒS���҂��قȂ邱�Ƃ�����B�Ⴆ�A�o�b�N�A�b�v�e�[�v�����̒S���҂�Web �T�[�o�̋N���E��~�̒S���҂��قȂ�悤�ȃP�[�X���B
�@���S���҂Ƃ������e�i���X���s�����߂ɂ�root�������K�v�ƂȂ邪�A�Z�L�����e�B��̗��R�A�܂��͑���~�X�ɂ��e���͈͂��ŏ����ɗ}���邽�߂ɁAroot�����ɂ��R�}���h�̎��s�����R�}���h�݂̂Ɍ��肵�����ꍇ������B���̂悤�ȃP�[�X�ɂ����āAsudo�͔��ɏd��B
�@��F���[�U�[backup�ƃ��[�U�[webadm��root�����Ŏ��s�\�ȃR�}���h�𐧌�����B
% sudo visudo
�@sudoers�Ɉȉ���2�s��lj�����B
backup ALL = (root) /bin/mt webadm ALL = (root) /etc/rc.d/apache.sh
�@�ݒ�͕ۑ��I���������_�ŗL���ƂȂ�B
�@��F�O�q�̗�ɁA����̃l�b�g���[�N����ڑ����Ă������[�U�[�̂�����悤�Ɋg������B���[�U�[backup��192.168.0.0/24�A���[�U�[webadm��192.168.100.0/24 ����݂̂Ɍ��肷��B
% sudo visudo
�@sudoers�Ɉȉ���lj��i�C���j����B
Host_Alias NET1 = 192.168.0.0/24 Host_Alias NET2 = 192.168.100.0/24 backup NET1 = (root) /bin/mt webadm NET2 = (root) /etc/rc.d/apache.sh
�@�ȏ�A���ۂ̉^�p�Ƃ��Ȃ�ƁA���������ׂ��Ȓ������K�v�ɂȂ邪�A���ׂ����Ƃ͗������Ă����������Ǝv���B
�@�Ō�ɁAsudo ���g����ŁA�悭����Ă��܂������ȃ~�X���Ȃ������߂̐ݒ���Љ�Ă����B���̑�\�I�ȗ�Ƃ��āAOS�̋N���E��~�R�}���h��sudo������s�ł��Ȃ��悤�ɂ���ݒ�ł���B����ɂ��A����~�X�ł�������T�[�o���ċN�����Ă��܂����Ƃ������Ƃ��Ȃ��Ȃ�B
�@��FOS���N���E��~����R�}���h�̎��s�̂֎~����B����ȊO�͋��B
% sudo visudo
�@sudoers �Ɉȉ���lj�����B
Cmnd_Alias SHUTDOWN = /sbin/halt, /sbin/shutdown, /sbin/poweroff, \ /sbin/reboot, /sbin/fastboot, /sbin/init root ALL=(ALL) ALL, !SHUTDOWN %wheel ALL=(ALL) ALL, !SHUTDOWN
�@Cmnd_Alias��SHUTDOWN���`���AOS�̋N���E��~�Ɋւ���R�}���h�� �O���[�v������B��̓O���[�v������SHUTDOWN��sudo�Ŏ��s�ł��Ȃ��悤�ɐݒ肷�邾�����B���̏ꍇ�ASHUTDOWN�̐擪�ɁI��t�����āg�ے�h�ɂ���K�v������B�ݒ��A���ۂ�SHUTDOWN�Œ�`���ꂽ�R�}���h�����s���悤�Ƃ���ƁA�ȉ��̂悤�ȋ��ۃ��b�Z�[�W���\��������s�ł��Ȃ��Ȃ�B
% sudo reboot Sorry, user kimu is not allowed to execute '/sbin/reboot' as root on atmarkit.example.co.jp.
�@OS�N���E��~�R�}���h�ȊO�ɂ��A���^�p�ɉe����^���Ă��܂������ȃR�}���h�́Asudo�ŋC�y�Ɏ��s�ł��Ȃ��悤�ɐ������邱�Ƃ������߂���B���ɊȒP�Ɏ~�߂邱�Ƃ̂ł��Ȃ���n�̃T�[�o�Ȃ�Ȃ����炾�B
�@�����̃R�}���h���g���ꍇ�́Asudo -s��sudo su�ŃV�F�������Ă���A�����N�b�V���������Ă���T�d�Ɏ��s����Ƃ悢���낤�B
sudo�ł͈�x���͂��ꂽ�p�X���[�h���^�[�~�i�����ƂɃL���b�V������B�f�t�H���g�ł�5���ԗL���ƂȂ�A�L���b�V���^�C���A�E�g��sudo�����s���邽�тɍX�V�����B
���̋@�\�͔��ɕ֗������A�p�X���[�h�̓��͂Ȃ��ɘA������sudo�����s�ł��邽�߁Aroot�����ŃR�}���h�����s����ۂɏd�v�ƂȂ�g�T�d���h�������Ă��܂��B���̂��߁A���ɏd�v�ȃT�[�o�̏ꍇ�̓L���b�V���𗘗p�����Asudo���s���ɖ���p�X���[�h���悤�Ȑݒ�itimestamp_timeout = 0�j��sudoers�ɋL�q���Ă����Ƃ悢���낤�B
Defaults timestamp_timeout = 0
�܂��A�g�T�d���h������Ɏ����������̂ł���Asudo�̃p�X���[�h�v�����v�g���ύX���邱�Ƃ������߂���Bsudo�����s�����ۂ̃p�X���[�h�v�����v�g�́A
Password:
�̂悤�ȃV���v���Ȃ��̂����A�����sudo�����s�������[�U�[���i%u�j��z�X�g���i%h�j�Ȃǂ����邱�ƂŁAsudo�R�}���h���s�҂ɁA�ǂ̃T�[�o��łǂ̃��[�U�[������s���悤�Ƃ��Ă���̂����ĔF�������邱�Ƃ��ł���B
sudo�̃p�X���[�h�v�����v�g��ύX����ꍇ�́Asudores�ɗႦ�Έȉ��̂悤�ɋL�q����B
Defaults passprompt = "%u@%h Password: "
�ݒ��ۑ�����ƁA�ukimu@atmarkit Password:�v�̂悤�ȃp�X���[�h�v�����v�g�ɕύX�����B
�Ȃ��A���̂ق�Defaults�Őݒ�ύX�\�ȓ��e�́Asudo -L��man sudoers�Ŋm�F����Ƃ悢���낤�B
Copyright © ITmedia, Inc. All Rights Reserved.