Dotaz: jine sudo heslo

[Pavel]

DD, da se v Ubuntu zmenit sudo heslo. Potrebuju aby bylo rozdilne od uzivatele. Ted jsem uzivatel pavel, mam heslo a to same heslo zadavam, kdyz potrebuju sudo.. to mi prijde k nicemu, ne?

Odpovědi

[NN]

Tak si predstavte, ze root ma dve hesla.

NN

[Pavel]

Diky za radu, ale moc mi nepomohla.. omlouvam se za zabednenost

[Ash]

Zabedněný nejste, já kolegu taky nepochopil :) sudem se většinou (...) hlásíte ne roota (provádíte příkaz pod rootem) a zadáváte jeho heslo, takže pokud se můžete přihlásit na roota a změnit heslo jemu, tak by to mohlo věc řešit. Pokud to tak nemáte tak pak záleží na tom co je v /etc/sudoers.

[Pavel]

Kdyz zadam:

su root

tak heslo pro sudo to nebere. Heslo pro roota jsem nikde ani nevytvarel.

To jsem teda myslel, ze ve zmene hesla sudo neni takovy problem. K cemu to teda je, kdyz si kazdy uzivatel zada svoje heslo a ma prava roota?

[Ash]

Přiznávám že Ubuntu neznám, takže pokud jste nemusel vytvářet roota a vše ovládáte přes sudo, tak ok, ale nevím jak se to v tom případě konfiguruje, když chcete třeba chování sudo změnit. Já bych se nejspíš přes sudo pokusil tomu rootovi to heslo nastavit, přihlásil se a nastavil co potřebuji. Nebo třeba sudo visudo by nešlo? Ale nevím jestli to je Ubunto-způsob, nebo by se to třeba dalo někde naklikat. Sudo je velmi konfigurovatelné, myslím že problém změnit to nebude, jen to bude chtít nějakého pokročilého uživatele Ubuntu, patrně se od těch kteří to neumí ani nečeká, že do toho budou rejpat ;)

[Ash]

Kdybyste jinak chtěl vědět odpovědi na své otázky tak dobře vypadá ubuntu documentation / sudo. Jako důvod (výhoda) zadávat při sudo stejné heslo uvádí i to, že si uživatel nemusí pamatovat dvě hesla, pak že jde o připomenutí že když musí zadat znovu heslo že "asi dělá něco co může mít následky" atd. Mějte na zřeteli že distro je primárně zaměřené na ne příliš odborné uživatele, takže i logika některých věcí je trochu... specifická. Také to su na roota asi nejde proto, že je přihlašování na roota zakázané.

[Ash]

A dále v man sudoers se píše že jako výchozí chování se sudo ptá opravdu na heslo uživatele, ne roota, což lze změnit flagem rootpw v /etc/sudoers. Helso pro roota nastavíte příkazem sudo passwd, výchozí heslo po instalaci je náhodné. Soubor sudoers můžete snad editovat pomocí sudo visudo, potřeba doplnit ten flag, např. doplněním řádku Defaults rootpw (nevím jestli tam už nějaké Defaults jsou). Lze to aplikovat i na jednotlivé příkazy, ale to asi nepotřebujete.

[Pavel]

tohle tam mam:

# /etc/sudoers
#
# This file MUST be edited with the 'visudo' command as root.
#
# See the man page for details on how to write a sudoers file.
#

Defaults    env_reset

# Uncomment to allow members of group sudo to not need a password
# %sudo ALL=NOPASSWD: ALL

# Host alias specification

# User alias specification

# Cmnd alias specification

# User privilege specification
root    ALL=(ALL) ALL

# Members of the admin group may gain root privileges
%admin ALL=(ALL) ALL
 

[Pavel]

Tak roota jsem vytvoril, ted teda jeste doladit, aby sudo "pracovalo" s rootem a ne s Pavlem..

[Ash]

Prima, takže řádek

Defaults    env_reset

změňte na

Defaults    env_reset, rootpw

[Pavel]

Vyzkousim az po me bude chtit sudo heslo, nevim jak vymazu ten interval, kdy si sudo pamatuje heslo.

Nemel bych jeste nejak resit clenstvi Pavla ve skupine adm a admin ?

[Pavel]

tak timeout jsem vynuloval, omlouvam se, nasel jsem to v tom odkazu...

[Ash]

Právě jeho přítomnost ve skupině admin uživateli Pavel umožňuje používat sudo (poslední řádek v sudoers), takže to nechte jak je.

[Pavel]

Dobre, dekuju mockrat. Funguje to preste tak, jak jsem si pral

[NN]

Kazdy uzivatel ma pouze JEDNO heslo.

NN

[Michal Kubeček]

Ne nutně, od toho máme PAM.

[Michal Kubeček]

Především je otázka nastavení sudo, zda po vás bude chtít heslo zdrojového uživatele (toho, který ho spouští), heslo cílového uživatele (toho, pod kterým poběží příkaz), obě nebo žádné. Jiné heslo pro sudo než pro přihlášení by šlo zařídit pomocí PAM, ale je otázka, jestli to má smysl.

[petr]

Dva uživatelé, jeden se jmenuje Adolf, druhý třeba Karel. Karel nemá rád Adolfa:

Karel: sudo rm -rf /home/Adolf/*

[Filip Jirsák]

To by ale Karel musel znát Adolfovo heslo pro přihlašování a nesměl znát jeho heslo pro sudo. I kdyby to tak bylo, tak se jednoduše jako Adolf přihlásí...

[Michal Kubeček]

No a? To mi trochu připomíná, jak někdo kdysi demonstroval nebezpečnost Linuxu na tom, že když má na počítači roota, dokáže si (dosti krkolomným způsobem) spustit shell pod rootem…

[Přemek Vyhnal]

Uživatelé, kteří mohou používat sudo musejí být v souboru /etc/sudoers. Uživatel pavel se tam asi přidal při instalaci ale další uživatelé už tam nebudou. Takže pavel je něco jako správce ale ostatní uživatelé nikomu nic smazat nebudou moci (Karel vs. Adolf)

[Michal Kubeček]

Ale no tak… Používat sudo může obvykle každý, v /etc/sudoers pak určíte, kdo smí pomocí něj (a pod kým) spouštět které příkazy.

[Přemek Vyhnal]

dobře ;) zas tak se v tom nevyznam.. ale chtel jsem si to zkusit a:


xxx $ su test
Heslo:
test $ sudo id

We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:

    #1) Respect the privacy of others.
    #2) Think before you type.
    #3) With great power comes great responsibility.

[sudo] password for test:
test is not in the sudoers file.  This incident will be reported.
test $

[Michal Kubeček]

Což přesně odpovídá tomu, co jsem psal. Uživatel test nemá v /etc/sudoers přiděleno oprávnění spouštět (pod rootem) příkaz id. Když tam příslušný řádek dopíšete, bude to fungovat.

[Přemek Vyhnal]

jo takhle.. takze jde jen o to ze jsem napsal "pouzivat"..

Pouzivat to teda muze kazdy ale nic s tim neudela. je to tak? Tak nejak jsem to puvodne myslel.

[eth4rendil]

heslo pre roota - u vas sudo heslo zmenite takto: prihlaste sa ako user potom prikaz sudo potom prikaz passwd root

a zadajte nove heslo

vsio

[Ash]

Jen upozorňuji, že říká že su root mu heslo které používá pro sudo nebere.

[Pavel]

Presne tak..

[Roman Došek]

sudo passwd root?

[Ash]

Jo a ještě pak musí nakonfigurovat sudo aby se ptalo na heslo roota, ne na heslo uživatele. Viz výše.

[Pavel]

tim opravdu zmenim "jen" sudo heslo, nikoliv heslo pro uzivatele Pavel ?

 

[Ash]

Tím změníte heslo rootovi, a když pak nakonfigurujete sudo (viz výše) aby se ptalo na heslo roota, tak vlastně zprostředkovaně i heslo pro sudo.

[Eregon]

V Ubuntu je to defaultně tak, že sudo umožní spouštení příkazů s právy roota jen uživatelům ve skupině admin. Jejím členem je uživatel vytvořený při instalaci systému, další už se sem automaticky nepřidávají, takže ani nemají možnost stát se rootem - první uživatel tak fakticky je root, ale ve výchozím nastavení práv roota využívá jen když je opravdu třeba - to je prostě pokus ochránit méně zdatné před tím, aby celou dobu byli root.

Zda to má takhle smysl, nebo nemá, si každý musí přebrat sám, případná úprava konfigurace na standardní chování není nijak složitá.

[Pavel]

A co kdyz ze skupiny adm vyhodim Pavel a pridam tam root? To by se nevyresilo?

[Eregon]

K čemu by uživateli root přihlášenému na sebe byla možnost přes sudo spouštět jiné programy s právy uživatele root? :)

Jinými slovy zjednodušeně řečeno: jestliže člen skupiny admin spustí sudo příkaz, provede se příkaz s právy uživatele root. Uživatel root pro spouštění příkazů se svými vlastními právy nepotřebuje sudo.

[Pavel]

Jasny, tohle mi uz nahore vysvetlil Ash