Kann Touch ID für die Mac Touch Bar sudo-Benutzer und Administratorrechte authentifizieren?

• Unterstützt Touch ID für die MacBook Pro Touch Bar das Erhöhen der Administratorrechte unter macOS?

• Kann die Touch ID etwas anders Sudo-Zugriff in Terminal gewähren?

Ich frage mich das, weil ich erwäge, einen YubiKey zu bekommen, mit dem Zeichenfolgen in Kennwortfelder eingegeben werden können, aber Touch ID für Macs macht dies möglicherweise unnötig.

1. TouchID unterstützt zwar das Erhöhen von Berechtigungen, scheint jedoch derzeit nur in Apples eigenen Apps unterstützt zu werden. Ich vermute, dass Apps von Drittanbietern aktualisiert werden müssen, um dies zu unterstützen. Ich tippe immer noch viel mein Passwort ein.

2. Siehe @ Antwort des conorgriffin Anweisungen TouchID für sudo zu ermöglichen.

Damit TouchID auf Ihrem Mac Sie sudoanstelle eines Kennworts für den Zugriff authentifizieren kann, müssen Sie die folgenden Schritte ausführen .

• Terminal öffnen
• Wechseln Sie zum Root-Benutzer mit sudo su -
• Bearbeiten Sie die /etc/pam.d/sudoDatei mit einem Befehlszeileneditor wie vimodernano

• Der Inhalt dieser Datei sollte folgendermaßen aussehen

  # sudo: auth account password session
  auth       required       pam_opendirectory.so
  account    required       pam_permit.so
  password   required       pam_deny.so
  session    required       pam_permit.so
  

• Sie müssen oben eine zusätzliche authZeile einfügen, damit sie jetzt so aussieht:

  # sudo: auth account password session
  auth       sufficient     pam_tid.so
  auth       required       pam_opendirectory.so
  account    required       pam_permit.so
  password   required       pam_deny.so
  session    required       pam_permit.so
  

• Speichern Sie die Datei ( Hinweis: Diese Datei ist normalerweise schreibgeschützt. Wenn vimSie Ihre Änderungen speichern, müssen Sie möglicherweise das Speichern erzwingen, z. B. müssen Sie sie wq!beim Speichern verwenden.)
• Beenden Sie den Root-Benutzer oder starten Sie eine neue Terminalsitzung
• sudoWenn Sie versuchen, TouchID zu verwenden, werden Sie aufgefordert, sich wie unten gezeigt mit TouchID zu authentifizieren
• Wenn Sie auf "Abbrechen" klicken, können Sie Ihr Passwort einfach an der Eingabeaufforderung des Terminals eingeben. Wenn Sie auf "Passwort verwenden" klicken, können Sie Ihr Passwort in das Dialogfeld eingeben.
• Wenn Sie eine SSH-Verbindung zu Ihrem Computer herstellen, wird darauf verzichtet, nur Ihr Kennwort zu verwenden, da Sie Ihre TouchID-Fingerabdrücke nicht über SSH senden können

Hinweis: Siehe die Antwort von Benutzer Pierz unten, wenn Sie iTerm verwenden, da Sie eine Einstellung ändern müssen, um diese Funktion zu aktivieren.

Wenn Sie iTerm2 (v3.2.8 +) verwenden, kann es sein, dass Touch ID nicht mit sudo im Terminal funktioniert, obwohl Sie die oben beschriebenen pam_tid.soÄnderungen vorgenommen haben und in früheren Versionen. Dies liegt an einer erweiterten Funktion , die jetzt standardmäßig aktiviert zu sein scheint - diese muss hier deaktiviert werden: iTerm2-> Einstellungen> Erweitert> (Gehe zur Überschrift Sitzung)> Erlaube Sitzungen, dass sie das Ab- und Wiedereinloggen überleben .

Alternativ können Sie dieses pam_reattachModul verwenden, um die Sitzungsfunktion und TouchID sudo gleichzeitig beizubehalten.

Sie können Fingerabdrücke verwenden, um Sudo-Zugriff auf das Terminal oder iTerm zu erhalten. Fügen Sie diese einfach auth sufficient pam_tid.soin die erste Zeile Ihrer /etc/pam.d/sudoDatei ein.

Ich habe ein einfaches Skript erstellt, mit dem sudo das TouchID PAM-Modul genau so verwenden kann, wie es conorgriffin erklärt. Dies geschieht in einem einzigen Skript, das Sie kopieren und ganz in ein Terminal einfügen können, oder Sie verwenden die Abkürzung " curlPipe bash":

curl -sL https://gist.githubusercontent.com/RichardBronosky/31660eb4b0f0ba5e673b9bc3c9148a70/raw/touchid_sudo.sh | bash

Das komplette Drehbuch :

#!/bin/bash

# curl -sL https://gist.githubusercontent.com/RichardBronosky/31660eb4b0f0ba5e673b9bc3c9148a70/raw/touchid_sudo.sh | bash
# This script is ready to copy-paste in whole, or just the line above (without the leading #)

# Use TouchID for sudo on modern MacBook Pro machines
# This script adds a single line to the top of the PAM configuration for sudo
# See: https://apple.stackexchange.com/q/259093/41827 for more info.

touchid_sudo(){
  sudo bash -eu <<'EOF'
  file=/etc/pam.d/sudo
  # A backup file will be created with the pattern /etc/pam.d/.sudo.1
  # (where 1 is the number of backups, so that rerunning this doesn't make you lose your original)
  bak=$(dirname $file)/.$(basename $file).$(echo $(ls $(dirname $file)/{,.}$(basename $file)* | wc -l))
  cp $file $bak
  awk -v is_done='pam_tid' -v rule='auth       sufficient     pam_tid.so' '
  {
    # $1 is the first field
    # !~ means "does not match pattern"
    if($1 !~ /^#.*/){
      line_number_not_counting_comments++
    }
    # $0 is the whole line
    if(line_number_not_counting_comments==1 && $0 !~ is_done){
      print rule
    }
    print
  }' > $file < $bak
EOF
}

touchid_sudo

Dieses Skript zeigt ein paar coole Muster, die ich gerne Leuten beibringe, die noch nicht mit Bash oder DevOps vertraut sind.

1. Erstellen Sie eine Sicherungsdatei, die nicht einfach .bakam Ende nummeriert ist . (Es sieht merkwürdig aus, aber dieses Muster funktioniert mit allem, was vorhanden $fileund wiederverwendbar ist.
2. Um dies sicher zu machen curl ... | bash, schließen Sie alles in eine Funktion ein und rufen Sie sie in der letzten Zeile auf. Auf diese Weise wird nichts (teilweise) getan, wenn der Download unterbrochen wird.
3. Rufen Sie sudo bash -euin Ihrem Skript auf, damit Sie den Benutzer nicht dazu auffordern müssen. ( Abkürzung-eu für errexit und nounset und Sie sollten sie verwenden!)
4. Bash Heredoc 'EOF'mit einfachen Anführungszeichen , um eine vorzeitige Shell-Expansion zu verhindern.
5. Inline awklesbarer machen.

Ich habe die folgenden anonymen Aufgaben erstellt, um die Touch-ID für Sudo-Befehle zu aktivieren, sofern Ihr Computer dies unterstützt:

- name: detect touch id support
  shell: pgrep ControlStrip
  ignore_errors: true
  register: touch_id_result

- name: enable touch id for sudo commands
  lineinfile:
    path: /etc/pam.d/sudo
    line: 'auth       sufficient     pam_tid.so'
    insertbefore: '^auth       sufficient     pam_smartcard.so$'
  become: yes
  when: touch_id_result.rc == 0 and touch_id_result.stdout != ''