☰

Befehle, die der Benutzer als Root in einer devtoolset-3-fähigen Shell ausführen kann, können nicht begrenzt werden

tag-icon • tag-icon linux rhel sudo
Befehle, die der Benutzer als Root in einer devtoolset-3-fähigen Shell ausführen kann, können nicht begrenzt werden

Wir verwenden devtoolset-3 auf RHEL6.6. Benutzer führen scl enable devtoolset-3 bash aus, um auf eine Umgebung mit allen devtoolset-3-Tools zuzugreifen.

Ich möchte Benutzern erlauben, eine Teilmenge von Befehlen als Root auszuführen. Normalerweise wird hierfür sudo mit einer sudoers-Datei verwendet, die einen Befehlsalias mit einer Liste von Befehlen enthält, die der Benutzer als Root ausführen können soll.

Ich habe verschiedene Kombinationen probiert, aber mir fällt einfach nicht das richtige Rezept ein.

Nachfolgend sind einige der Dinge aufgeführt, die ich versucht habe:

Versuch 1:

Ich erstelle einen Befehlsalias:

Cmnd_Alias ALLOWEDCOMMANDS=/usr/bin/pkill <process name>

und dann Mitgliedern von myGroup erlauben, diese Befehle ohne Passwort auszuführen

%myGroup  ALL=(ALL) NOPASSWD:SETENT: ALLOWEDCOMMANDS

Wenn ich mit diesem Setup versuche, sudo pkill auszuführen, erhalte ich Folgendes:

Entschuldigung, der Benutzer darf '/usr/bin/scl enable devtoolset-3 'pkill' ''' nicht als Root ausführen

Versuch 2:

Ich habe die sudoers-Datei geändert, um den vollständigen Befehl zu erhalten:

Cmnd_Alias ALLOWEDCOMMANDS=/usr/bin/scl enable devtoolset-3 pkill <some_process_name>

aber ich bekomme immer noch den gleichen Fehler.

Versuch 3:

Wenn ich es /usr/bin/sclals zulässigen Befehl aufliste, darf der Benutzer in einer SCL-fähigen Umgebung jeden beliebigen Befehl als Root ausführen.

Fällt irgendjemand eine zuverlässige Methode ein, die es Benutzern ermöglicht, eine bestimmte Liste von Befehlen in einer SCL-fähigen Shell auszuführen?

Antwort1

Nur für den Fall, dass jemand anders auf dieses Problem stößt, dachte ich, ich poste hier die Antwort, die ich vom Red Hat-Support erhalten habe.

es stellt sich heraus, dass die devtoolset-3-Version von sudo das Format der Befehlsaliase, die Sie in /etc/sudoers angeben können, nicht gut wiedergibt.

In Ihrer devtoolset-3-fähigen Shell können Sie den Alias ​​sudo=/usr/bin/sudo verwenden. Dann führen Ihre Benutzer das Standard-Sudo aus, das Befehlsaliase korrekt verarbeitet.

Mit diesem Alias ​​funktioniert alles wie erwartet.

verwandte Informationen