8 modi per modificare e configurare Sudo su Ubuntu

Come molte cose su Linux, il comando sudo è molto configurabile. È possibile avere sudo eseguire comandi specifici senza chiedere una password, limitare gli utenti specifici solo ai comandi approvati, i comandi di registro eseguiti con sudo e altro ancora.

Il comportamento del comando sudo è controllato dal file / etc / sudoers sul tuo sistema. Questo comando deve essere modificato con il comando visudo, che esegue il controllo della sintassi per assicurarsi di non rompere accidentalmente il file.

Specificare gli utenti con autorizzazioni Sudo

L'account utente che hai creato durante l'installazione di Ubuntu è contrassegnato come un account Administrator, il che significa che può utilizzare sudo. Qualsiasi account utente aggiuntivo creato dopo l'installazione può essere Amministratore o Account utente standard: gli account utente standard non dispongono di autorizzazioni sudo.

È possibile controllare graficamente i tipi di account utente dallo strumento Account utente di Ubuntu. Per aprirlo, fai clic sul tuo nome utente sul pannello e seleziona Account utente o cerca Account utente nel trattino.

Fai Sudo dimenticare la tua password

Per impostazione predefinita, sudo ricorda la password per 15 minuti dopo averla digitata. Questo è il motivo per cui devi digitare la password una sola volta quando esegui più comandi con sudo in rapida successione. Se stai per permettere a qualcun altro di usare il tuo computer e vuoi che sudo chieda la password quando viene eseguito successivamente, esegui il seguente comando e sudo dimenticherà la tua password:

sudo -k

Chiedi sempre una password

Se preferisci ricevere una richiesta ogni volta che usi sudo - ad esempio, se altre persone hanno regolarmente accesso al tuo computer - puoi disabilitare completamente il comportamento di memorizzazione della password.

Questa impostazione, come altre impostazioni di sudo, è contenuta nel file / etc / sudoers. Esegui il comando visudo in un terminale per aprire il file per la modifica:

sudo visudo

A dispetto del suo nome, questo comando usa per impostazione predefinita l'editor nano di nuova concezione invece del tradizionale editor vi su Ubuntu.

Aggiungi la seguente riga sotto le altre linee di default nel file:

Defaults timestamp_timeout = 0

Premi Ctrl + O per salvare il file, quindi premi Ctrl + X per chiudere Nano. Ora Sudo ti chiederà sempre una password.

Cambia il timeout della password

Per impostare un timeout della password diverso, uno più lungo come 30 minuti o uno più breve come 5 minuti, segui i passaggi precedenti ma utilizza un valore diverso per timestamp_timeout. Il numero corrisponde al numero di minuti su cui si ricorderà la password. Per fare in modo che sudo ricordi la password per 5 minuti, aggiungi la seguente riga:

Defaults timestamp_timeout = 5

Non chiedere mai una password

Puoi anche fare in modo che sudo non chieda mai una password, a patto che tu abbia effettuato l'accesso, ogni comando che tu prefissi con sudo verrà eseguito con i permessi di root. Per fare ciò, aggiungi la seguente riga al tuo file sudoers, dove username è il tuo nome utente:

nome utente ALL = (TUTTI) NOPASSWD: TUTTI

Puoi anche cambiare la riga sudo%, cioè la linea che consente a tutti gli utenti del gruppo sudo (noti anche come utenti Amministratori) di utilizzare sudo, per fare in modo che tutti gli utenti amministratori non richiedano password:

% sudo ALL = (TUTTI: TUTTI) NOPASSWD: TUTTI

Esegui comandi specifici senza password

Puoi anche specificare comandi specifici che non richiedono mai una password quando vengono eseguiti con sudo. Invece di usare "TUTTI" dopo NOPASSWD sopra, specificare la posizione dei comandi. Ad esempio, la seguente riga consentirà al tuo account utente di eseguire i comandi apt-get e shutdown senza password.

nome utente ALL = (TUTTI) NOPASSWD: / usr / bin / apt-get, / sbin / shutdown

Questo può essere particolarmente utile quando si eseguono comandi specifici con sudo in uno script.

Consenti a un utente di eseguire solo comandi specifici

Sebbene sia possibile mettere in blacklist comandi specifici e impedire agli utenti di eseguirli con sudo, questo non è molto efficace. Ad esempio, è possibile specificare che un account utente non sia in grado di eseguire il comando shutdown con sudo. Ma quell'account utente poteva eseguire il comando cp con sudo, creare una copia del comando shutdown e spegnere il sistema usando la copia.

Un modo più efficace è inserire nella whitelist comandi specifici. Ad esempio, è possibile fornire un permesso per account utente standard per utilizzare i comandi apt-get e shutdown, ma non di più. Per fare ciò, aggiungi la seguente riga, dove standarduser è il nome utente dell'utente:

standarduser ALL = / usr / bin / apt-get, / sbin / shutdown

Il seguente comando ci dirà quali comandi l'utente può eseguire con sudo:

sudo -U standarduser -l

Registrazione Accesso Sudo

È possibile registrare tutti gli accessi sudo aggiungendo la seguente riga. / var / log / sudo è solo un esempio; puoi utilizzare qualsiasi percorso di file di registro che ti piace.

Defaults logfile = / var / log / sudo

Visualizza il contenuto del file di log con un comando come questo:

sudo cat / var / log / sudo

Tenere presente che, se un utente ha accesso illimitato sudo, tale utente ha la possibilità di eliminare o modificare il contenuto di questo file. Un utente può anche accedere a un prompt di root con sudo ed eseguire comandi che non verrebbero registrati. La funzionalità di registrazione è molto utile quando è accoppiato con account utente che hanno accesso limitato a un sottoinsieme di comandi di sistema.