Unterschiedliches SSH / Login-Passwort vom SUDO-Passwort

Ich möchte ein anderes Passwort verwenden, um meinen Benutzer in den Sudo-Status zu versetzen, als das Passwort, mit dem ich mich bei meinem Konto anmelde (entweder über GUI, Shell oder SSH). Ist das möglich?

BEARBEITEN: Da das Festlegen des Root-Passworts die Anmeldung als Root ermöglichen würde, ist dies kein guter Weg. Ich würde ein benutzerspezifisches Sudo-Passwort anstelle eines systemweiten Root-Passworts bevorzugen.

von Mann Sudoers:

rootpw          If set, sudo will prompt for the root password instead of the
                password of the invoking user.  This flag is off by default.

runaspw         If set, sudo will prompt for the password of the user defined
                by the runas_default option (defaults to root) instead of the
                password of the invoking user.  This flag is off by default.

Oder Sie können einfach passwortbasierte Anmeldungen über ssh vollständig verbieten. Für die Remote-Anmeldung ist ein mit Passphrasen verschlüsselter Schlüssel erforderlich. Dann können Sie das Passwort für sudo verwenden. Die relevante Option ist

von man sshd_config

 PasswordAuthentication
         Specifies whether password authentication is allowed.  The default
         is “yes”.

suchst du das stattdessen bei sudoers man?

   targetpw        If set, sudo will prompt for the password of the user
                   specified by the -u option (defaults to root) instead of the
                   password of the invoking user. 

Wie wäre es, wenn Sie die Kennwortanmeldung über SSH deaktivieren und die Anmeldung mit öffentlichem Schlüssel zulassen, bei der Sie Ihr schwer zu erratendes Kennwort festlegen können. Dann kann das lokale Passwort kürzer sein und von sudo verwendet werden.

Abgesehen davon müssen Sie /etc/pam.d/sudoein anderes (oder zusätzliches) Modul konfigurieren , um auf den ersten Blick pam_dialpassdas zuzulassen, was Sie benötigen.

Sie können auch die LDAP-Konfiguration für das eine und die lokalen Kennwörter für das andere konfigurieren. Es hängt alles davon ab, wie viele Änderungen Sie vornehmen können und wollen, welche Module verfügbar sind usw.

LÖSUNG 1: newgrp

Eine einfache Möglichkeit, Ihren Anwendungsfall anzusprechen, besteht darin, ihn :NOPASSWDin Kombination mit einer Gruppe und einem Gruppenpass zu verwenden:

Fügen Sie Sudoern eine Zeile hinzu:

%rudo   ALL=(ALL:ALL) NOPASSWD:ALL

Erstellen Sie eine passwd-geschützte Gruppe:

groupadd rudo
gpasswd  rudo # Enter passwd

Wenn Sie sich jetzt als nicht privilegierter Benutzer anmelden (vorausgesetzt, Sie sind noch nicht in der rudoGruppe), melden Sie sich bei der rudoGruppe an. An diesem Punkt werden Sie zur Eingabe des Kennworts aufgefordert.

login user
newgrp rudo

Jetzt können Sie ohne sudoKennwort ausführen , solange Sie in der Gruppe angemeldet bleiben.

LÖSUNG 2: runaspw

Ein besserer, möglicherweise sicherer Weg, dies zu tun, verwendet runaspw. runaspwist mit der runas_defaultOption verknüpft, sodass Sie diese Option ebenfalls hinzufügen müssen.

Angenommen, Sie haben bereits den Standardgruppeneintrag %sudo:

%sudo   ALL=(ALL:ALL) ALL

Fügen Sie diese Zeilen zur sudoers-Datei hinzu:

Defaults:%sudo  runas_default=sudo
Defaults:%sudo  runaspw

Fügen Sie nun einen neuen sudoBenutzer mit einem Passwort hinzu:

useradd sudo -d /nonexistent -s /usr/sbin/nologin -MNr
passwd sudo

Jetzt werden Benutzer der Sudo-Gruppe aufgefordert, das Passwort des Sudo-Benutzers einzugeben, aber nur Benutzer in der Sudo-Gruppe können sudo ausführen (im Gegensatz zur obigen Gruppenlösung, bei der jeder in der Gruppe oder mit dem Gruppenpasswud sudo kann).

Ein kleines Problem ist, dass der Standard-Runas-Benutzer jetzt sudoso ist, dass Sie als sudo als root explizit root angeben müssen:

sudo -u root <cmd>

Aber einfach genug, um einen alias ( alias sudo='sudo -u root') - oder indirekten sudo-Befehl zu definieren .