Através deste pequeno artigo tentarei mostrar as vantagens e facilidades de se utilizar o software sudo. Existem outros que podem ser usados para realizar as mesmas tarefas, estes serão descritos abaixo.
O sudo permite que um grupo de sysadmin efetue comandos pré-determinados pelo root sem a necessidade de acesso completo de root. O sudo facilita muito auditoria dos comandos executados por cada sysadmin indevidualmente.

Lista de algumas vantagens do sudo:

• Limitar acesso de root;


• Não necessita que todos os sysadmins tenham acesso a senha de root;

• Controlar os comandos usados pelos sysadmin (auditar);


• Possibilidade de criação de users para trabalhos específicos, como: user de backup, user de contas e etc... .

Informações oficiais: http://www.courtesan.com/sudo/

Download FTP: ftp://ftp.courtesan.com/pub/sudo/

O sudo também é encontrado por default em distribuições *BSD, mas sempre é recomendado instalar a última versão.

Este software foi testado em um S.O. Freebsd e a versão do sudo testada e a 1.6.3p6 .

Arquivos instalados:

Este arquivo de configuração descreve quais os comandos e quais que cada user (sysadmin) pode executar, e com qual uid cada user executará esse comando. Por isso a configuração deste deve ser bem planejada, abaixo colocaremos alguns exemplos simples.

anderson 192.168.100.1=(root) /bin/ls , /bin/pwd
user ip id comandos

anderson ALL = /bin/ls , /bin/passwd, !/bin/passwd *root*
user ip comando executado como root

anderson 192.168.100.1 = NOPASSWD: /bin/reboot , /bin/halt
user ip nao requer password comandos
(O user anderson pode executar os comandos listados sem a requisicao da sua senha)

aaa ALL = /usr/bin/passwd [A-z]*, !/usr/bin/passwd root
(Permite o user aaa mudar a senha de qualquer user cujo o login esteja no intervalo de A a Z exceto o root).

Nestes exemplos iniciais é importante a dicisão de incluir o ip de onde o user (sysadmin) executará o comando em vez de ALL. Com a adição do ip em vez de ALL podemos evitar a execução de comandos remotos (R*), apesar que a maioria não utiliza mais isso porém é sempre bom evitar transtornos e surpresas.

aaa ALL = /bin/passwd ?* , !/bin/passwd *root*
user ip comando permitido comando nao permitido
(O user aaa pode mudar a senha de todos os users exceto a do root, desde que este user tenha pelo menos um caracter válido)

anderson 192.168.168.1 = (webmaster) vi /www/index.html
user ip uid que executara o comando comando usado

(Permite o user anderson executar o comando vi /www/index.html com os poderes do user webmaster).

Defaults@ALL log_year, logfile=/var/adm/sudolog
(Concentrando os logs /var/adm/sudolog)

Defaults:anderson log_year, logfile=/var/adm/anderson.sudolog
(Permite desviar os logs do user anderson para o arquivo /var/adm/anderson.sudolog )

Defaults@ALL mailto=root,admin,webmaster
(Envia emails de notificações para root,admin,webmaster)

Também podemos usar o visudo em /usr/local/sbin/ para edição do arquivo de configuração, este binário tem função parecida com o vipw do freebsd. Ele automaticamente verifica se a sintaxe esta correta ou não, em caso de erro de sintaxe ele automaticamente avisa ao root se deseja gravar ou não o arquivo /usr/local/etc/sudoers. Ao usar o visudo o sudo e locado em /etc/sudoers.tmp ou em /usr/local/etc/sudoers.tmp , impedindo edições conflitantes.

Para obter mais informações: man sudoers

Apos a configuração em /usr/local/etc/sudoers basta executar o sudo com as seguintes sintaxe:

$ sudo

$ sudo -u

$ sudo -l
Password: *******
User anderson may run the following commands on this host:
(root) /bin/adduser
(webmast) vi /www/index.html
(aaa) /bin/pwd

(Lista as possibilidades de comandos que o user pode afetuar atraves do sudo)

Para obter mais informações: man sudo

Feb 2 11:03:00 server /usr/bin/sudo: anderson : TTY=ttyp1 ; PWD=/usr/home/anderson ; USER=root ; COMMAND=/usr/bin/add

Feb 2 11:03:03 server /usr/bin/sudo: anderson : TTY=ttyp1 ; PWD=/usr/home/anderson ; USER=root ; COMMAND=/usr/bin/adduser

Feb 2 11:05:17 server /usr/bin/sudo: anderson : command not allowed ; TTY=ttyp1 ; PWD=/etc ; USER=root ; COMMAND=/bin/passwd

Out no display:

Feb 2 11:07:38 server /usr/bin/sudo: anderson : user NOT in sudoers ; TTY=ttyp1 ; PWD=/usr/home/anderson ; USER=root ; COMMAND=/bin/ls

Out no display:

- Exemplo de password incorreto:

Feb 2 12:19:53 server /usr/bin/sudo: anderson : 1 incorrect password attempt ; TTY=ttyp1 ; PWD=/etc ; USER=root ; COMMAND=/bin/ls