Дозволити user1 до "su - user2" без пароля

Мені потрібно дозволити користувачеві martinпереходити до користувача martin-testбез пароля

su - martin-test

Я думаю, це можна налаштувати /etc/pam.d/su. У цьому файлі вже є рядки, які можна коментувати. Однак мені не подобається ідея додавати користувача martinдо групи wheel. Я не хочу давати martinбільше привілеїв, ніж мати можливість перейти на martin-test. Я також не хочу використовувати sudo.

Який був би найкращий спосіб зробити це, зберігаючи привілеї користувача martinмінімальними?

Додайте наступні рядки прямо під pam_rootok.soрядком у вашому /etc/pam.d/su:

auth  [success=ignore default=1] pam_succeed_if.so user = martin-test
auth  sufficient                 pam_succeed_if.so use_uid user = martin

Ці рядки виконують перевірки за допомогою pam_succeed_if.soмодуля. Дивіться також синтаксис файлу конфігураційного файлу Linux-PAM, щоб дізнатися більше про authрядки.

• Перший рядок перевіряє , є чи цільової користувач є martin-test. Якщо це так, нічого не відбувається ( success=ignore), і ми продовжуємо переходити до наступного рядка, щоб перевірити поточного користувача . Якщо це не так, наступний рядок буде пропущений ( default=1), і ми продовжимо наступні рядки зі звичайними кроками аутентифікації.
• Другий рядок перевіряє, чи є поточний користувач martin. Якщо він є, система вважає процес аутентифікації успішним і повертає ( sufficient). Якщо це не так, нічого не відбувається, і ми продовжуємо наступні рядки зі звичайними кроками аутентифікації.

Ви також можете обмежитися suгрупою, тут група allowedpeopleможе бути suбез пароля:

auth sufficient pam_succeed_if.so use_uid user ingroup allowedpeople

Якщо ви не хочете змінювати групи або використовувати sudo, використовуйте модуль пам’яті, покликаний pam_execвиконувати зовнішні скрипти на етапі пам’яті.

Додайте рядок до рядка /etc/pam.d/suпісля pam_rootok.soрядка:

auth       sufficient pam_exec.so quiet /path/to/script

/path/to/script має дозволи 755 (rwxr-xr-x) та такий вміст:

#!/bin/bash
if [ "$PAM_TYPE" == "auth" ] && \
[ "$PAM_USER" == "martin-test" ] && \
[ "$PAM_RUSER" == "martin" ]; then
  exit 0
else
  exit 1
fi

Тож цей сценарій існує успішно, якщо su:

• викликається в контексті аутентифікації,
• користувачем, що викликає, є martinі
• користувач для аутентифікації є martin-test.

Побачити:

martin@host:~$ su - martin-test
martin-test@host:~$ exit
martin@host:~$ su - otheruser
Password: ****
otheruser@host:~$ 

Якщо у вас немає доступу до кореневого облікового запису, але у вас є пароль користувача, якого ви хочете використовувати для запуску команди, ви можете зробити наступне.

• Тут буде запропоновано пароль toto: su - toto -c whoami
• Це не буде: ssh toto @ localhost whoami

Просто встановіть ваш відкритий ключ в санкціоновані_ ключі toto

Моє просте рішення:

sudo login -f martin-test

Якщо ви хочете уникнути судо будь-якою ціною, я думаю, це має бути можливо, щоб це було вкладено в сценарій:

1. належить корені і з привілеями суперкористувача (використовуючи Setuid прапора)
2. виконується всіма, також без будь-якого судо.

Тим НЕ менше, я не можу з'ясувати chown rootі chmod +s ToTest.shбіти, щоб зробити це на самому справі працює:

#!/usr/bin/env bash
echo howdy, I am $(whoami)
sudo login -f martin-test

Я все ще працює як мій звичайний користувач, як підказує ехо. А ще потрібен пароль sudo. Якби він працював як root, можна було б покінчити з sudoостаннім рядком ...