Consenti all'utente1 di "su - utente2" senza password

Devo consentire all'utente martindi passare all'utente martin-testsenza password

su - martin-test

Penso che questo possa essere configurato in /etc/pam.d/su. Ci sono già alcune righe in quel file che possono essere decommentate. Tuttavia, non mi piace l'idea di aggiungere l'utente martinal gruppo wheel. Non voglio dare martinpiù privilegi di quello di poter passare a martin-test. Inoltre non voglio usare sudo.

Quale sarebbe il modo migliore per farlo, mantenendo al minimo i privilegi dell'utente martin?

Aggiungi le seguenti righe proprio sotto la pam_rootok.soriga nel tuo /etc/pam.d/su:

auth  [success=ignore default=1] pam_succeed_if.so user = martin-test
auth  sufficient                 pam_succeed_if.so use_uid user = martin

Queste linee eseguono controlli usando il pam_succeed_if.somodulo. Vedi anche la sintassi del file di configurazione di Linux-PAM per saperne di più sulle authlinee.

• La prima riga controlla se l' utente di destinazione è martin-test. In tal caso, non accade nulla ( success=ignore) e continuiamo sulla riga successiva per verificare l' utente corrente . In caso contrario, la riga successiva verrà ignorata ( default=1) e continueremo sulle righe successive con i soliti passaggi di autenticazione.
• La seconda riga controlla se l'utente corrente è martin. In tal caso, il sistema considera il processo di autenticazione come riuscito e restituisce ( sufficient). In caso contrario, non accade nulla e continuiamo sulle righe successive con i soliti passaggi di autenticazione.

Puoi anche limitarti sua un gruppo, qui il gruppo allowedpeoplepuò susenza una password:

auth sufficient pam_succeed_if.so use_uid user ingroup allowedpeople

Se non si desidera cambiare gruppo o utilizzare sudo, utilizzare un modulo pam chiamato pam_execper eseguire script esterni in una fase pam.

Aggiungi una riga nel tuo /etc/pam.d/sudopo la pam_rootok.soriga:

auth       sufficient pam_exec.so quiet /path/to/script

/path/to/script dispone delle autorizzazioni 755 (rwxr-xr-x) e il seguente contenuto:

#!/bin/bash
if [ "$PAM_TYPE" == "auth" ] && \
[ "$PAM_USER" == "martin-test" ] && \
[ "$PAM_RUSER" == "martin" ]; then
  exit 0
else
  exit 1
fi

Quindi questo script esiste con successo se su:

• viene chiamato nel contesto dell'autenticazione,
• l'utente chiamante è martine
• l'utente per l'autenticazione è martin-test.

Vedere:

martin@host:~$ su - martin-test
martin-test@host:~$ exit
martin@host:~$ su - otheruser
Password: ****
otheruser@host:~$ 

Se non si ha accesso all'account di root, ma si dispone della password dell'utente che si desidera utilizzare per eseguire un comando, è possibile effettuare le seguenti operazioni.

• Questo ti chiederà la password del toto: su - toto -c whoami
• Questo non: ssh toto @ localhost whoami

Installa semplicemente la tua chiave pubblica in authorized_keys di toto

La mia soluzione semplice è:

sudo login -f martin-test

Se vuoi evitare sudo a tutti i costi, penso che dovrebbe essere possibile metterlo in uno script:

1. di proprietà di root e con privilegi di root (usando il flag setuid )
2. eseguibile da tutti, anche senza alcun sudo.

Tuttavia, non riesco a capire i bit chown roote chmod +s ToTest.sh, per farlo funzionare davvero:

#!/usr/bin/env bash
echo howdy, I am $(whoami)
sudo login -f martin-test

Corro ancora come il mio normale utente, come mi dice l'eco. E richiede ancora la password sudo. Se fosse in esecuzione come root, si potrebbe eliminare sudoil nell'ultima riga ...