Dotaz: sudo na debiane 10

[jany2]

Debian 10 netinstall, prihlasim sa ako root, po update/upgrade doinstalujem sudo. Pridam usera do sudo

su -
apt update && apt upgrade -y
apt install sudo
adduser username sudo

Adding user `username' to group `sudo' ...
Adding user username to group sudo
Done.

Zatial vyzera vsetko OK. Skontrolujem cez groups username ci je uzivatel v sudo a vidim, ze je. Odhlasim sa z root, ctrl+d. Pozrem cez groups do ktorych skupin patrim a sudo skupina tam nie je. Skusam update ako user

sudo atp update

We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:

    #1) Respect the privacy of others.
    #2) Think before you type.
    #3) With great power comes great responsibility.

[sudo] password for username: 
username is not in the sudoers file.  This incident will be reported.

OK, pridavam do sudoers clena

su -
visudo 

na koniec suboru pridavam

username       ALL=(ALL:ALL) ALL

Podotykam, ze v sudoers je uz directiva, ktora hovori, ze vsetci uzivatelia zaradeny do skupiny sudo mozu vykonavat vsetko (proste ako root)

%sudo   ALL=(ALL:ALL) ALL

Odhlasim sa z root a skusam update ako user cez sudo. Vsetko funguje. Pozrem groups a vidim, ze uzivatel neni v skupine sudo (ale prikazy cez sudo vykonavat idu). Az po logoute som v skupine sudo.

Uz som to vyriesil, ale ked som sa uz tak rozpisal a nechce sa mi to mazat, tak mozno to pomoze niekomu v buducnosti. Problem bol ten, ze hned po pridani usera do skupiny sudo sa treba odhlasit z root, ale aj z uzivatela. Potom sa znova prihlasit ( ja cez ssh). Uzivatel je v sudo a vsetky prikazy sa daju vykonavat cez sudo (netreba upravovat sudoers). Je to najcastejsie chyba preco to nefunguje.

---

---

Odpovědi

[Aleš Kapica]

Tak proč to do frasa píšeš do poradny?

Příště si to prosím tě nejprve sesumíruj někde stranou, a pokud už ti z toho vyleze něco podobného, tak to publikuj jako blog, když už.

[Aleš Kapica]

Sorry no ...

Druhy raz to nemusim vobec pisat. Robil som to za pochodu a ked som to mal uz napisane, tak mi to bolo luto vsetko odstrelit.

Ale je to poradna a poradil som si sam, tak som to sem dal

Druhy raz to dam do blogu

[Aleš Kapica]

Taky jsem ti poradil. A pro jistotu rovnou označil tvou reakci jako řešení.

[samalama]

ale ved to je jany2, nie sa co cudovat. pozri sa po internete, co ten clovek stvara...

[jany2]

no to som zvedavý co po internete stvaram, môžeš konkretizovať?

[Peter Golis]

To na konci nie je chyba, ale vlastnosť. Pri zmene na užívateľovi, menovite pri pridaní skupiny sa tá skupina nepridá do už živého sedenia. Treba sa znovu prihlásiť.

Teda buď užívateľa odhlásiť a prihlásiť, alebo sa naň prepnúť z root-a.

[jany2]

práveže keď som sa odhlásil z roota, tak ako užívateľ som nepatril do skupiny sudo. Musel so. sa odhlásiť aj ako užívateľ a znova prihlásiť

[Peter Golis]

To je logické, a tak to funguje.

1. Prihlásil si sa ako užívateľ, ktorý zatiaľ nemal skupinu sudo.
2. Z toho užívateľa si si príkazom su naštartoval vnorené sedenie pre roota.
3. Pod tým rootom si vytvoril užívateľa sudo ktorému bola automaticky vytvorená skupina sudo.
4. To vnorené sedenie si ukončil, a vrátil si sa do pôvodného sedenia z bodu 1.

Tým že sa odhlásiš z vnoreného sedenia, tak sa znova automaticky neprihlásiš do nového. Ostane ti to pôvodné sedenie v ktorom si pochopiteľne nemal priradenú vtedy ešte neexistujúcu skupinu.

PS: Mimochodom, stačilo vytvoriť skupinu sudo cez groupadd. Takto máš užívateľa sudo, ktorého asi nebudeš ani používať.

[k3dAR]

[...] PS: Mimochodom, stačilo vytvoriť skupinu sudo cez groupadd. Takto máš užívateľa sudo, ktorého asi nebudeš ani používať.

nn, pridal uzivatele "username" do skupiny sudo, nevytvarel uzivatele sudo

[Peter Golis]

Odkedy príkaz adduser nevytvára užívateľa? Že mal v tom príkaze aj preklep je jasné.

[Ptr]

Fíčura (debianího) adduser. Všimni si, že používá příkaz adduser username sudo

If called with two non-option arguments, adduser will add an existing user to an existing group.

[samalama]

to je ok, to je golis. on vsade bol a vsetko videl. 2-krat...

[Peter Golis]

Tak na takéto špecifikum jedného typu distribúcie by som si nikdy nezvykol. Na pridanie doplnkovej skupiny užívateľovi som radšej používal nástroj na to určený, a so syntaxou ktorá je identická naprieč distribúciami. Teda usermod, ktorého syntax sa roky nemení.

[k3dAR]

v "man adduser" vidim copyright od 1994, nevim samozrejme zda chovani bylo uz tehdy, ale co pamatuju tak bylo v Debian i *buntu, ted koukam ze je v AlpineLinux, dale ArchWiki zminuje adduser z AUR, kde je zmineno ze pochazi z Slackware...

btw: nepreklepl se, predpokladam ze sve jmeno v dotazu nahradil slovem username, syntax totiz je:

adduser jmeno_uzivatele_kteremu_pridavam_skupinu pridavana_skupina

[jany2]

• 1. to sedi
• 2. aj toto sedi
• 3. toto uz nesedi. Nic som nevytvaral, ale pridaval som uzivatela "username" do skupiny sudo. BTW skupina sudo v systeme existuje (pozri vystup z prikazu adduser, ktori hovori, ze pridanie uzivatela "username" do skupiny sudo bolo dokoncene
• 4. toto tiez sedi

Tým že sa odhlásiš z vnoreného sedenia, tak sa znova automaticky neprihlásiš do nového. Ostane ti to pôvodné sedenie v ktorom si pochopiteľne nemal priradenú vtedy ešte neexistujúcu skupinu.

Stacilo sa odhlasit aj z uzivatela "username" presne ako si napisal. Chybou bolo to, ze som sa odhlasil len z roota. Co sa tyka groupadd, tak toto mi netreba, kedze skupina sudo existuje.

A co sa tyka toho tak nenasiel som preklep v prikaze. Takto sa pridava uzivatel do skupiny vid moj prvy prispevok

Alternatively, you can first get root (e.g., sudo su -) and then run the same commands without prefix=sudo:

adduser foo sudo

V kazdom pripade stacilo aj

apt install sudo
usermod -aG sudo username

Ale dolezite je odhlasit sa nie len z root, ale aj ako uzivatel, inak pri pouziti sudo uvidis

We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:

    #1) Respect the privacy of others.
    #2) Think before you type.
    #3) With great power comes great responsibility.

[sudo] password for username: 
username is not in the sudoers file.  This incident will be reported.

A vtedy som zacal riesit sudoers. Myslim si, ze tuto temu uz netreba viac rozoberat a moze sa kludne uzamknut.

[Peter Golis]

To sa stalo aj mne, to je v pohode. Odvtedy sa pre istotu pri rovnakej úlohe z užívateľa prepnem na roota, tam porobím zmeny, a následne sa buď znova prihlásim alebo inak prepnem na užívateľa. Aby som si náhodou neodrezal pod sebou vetvu na ktorej sedím. Ak je všetko v poriadku, až vtedy sa z roota odpojím. Niekedy má človek totižto len jeden pokus

Ale skús to označiť ako vyriešené. Lock slúži na niečo iné, menovite na odstraňovanie spamu.

[Petr Gajdůšek]

Ahoj, tohle chování je v Debianu co pamatuju.

viz

man 7 credentials
man 5 sudo.conf   # sekce o nastavení group_source

Výchozí nastaveni v /etc/sudo.conf je group_source static, což znamená, že sudo zkoumá uživatelské skupiny volajícího procesu. Ty se většinou dědí od rodiče, ale rodič je může částečně měnit, nebo je může měnit i proces samotný, má-li k tomu práva. Změny v /etc/group se do existujících procesů samozřejmě nemohou promítnout. Tohle by měl mít každý na paměti kvůli bezpečnosti (viz man credentials)

Místo odhlášení můžeš ale použít rychlejší newgrp sudo.

Změnit chování se dá v /etc/sudo.conf direktivou Set group_source dynamic

Potom sudo bude vždy konzultovat group databázi, což ale může být docela pomalé, když to bude např. LDAP. Viz `man nsswitch.conf`.