Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Sudo (comment imposer son utilisation et bannir sudo -i ?)

tambakoly

Bonjour,

Je voudrais savoir si quelqu'un a deja reussi à imposer l'utilisation du mot clef sudo pour l'utilisateur qui a des droits sudo;
et lui interdire de pouvoir utiliser sudo -i ou sudo -s. Car en sudo -i il a en permanence les privimeges root et ce que je veux éviter.
Merci d'avance.

nam1962

Rien compris... C'est quoi "imposer le mot clef sudo" ? "en permanence des privilèges root" ????

erresse

À mon avis, tambakoly veut juste empêcher que "sudo" puisse être utilisé avec une option "-i" ou "-s". En effet, si tu exécutes "sudo -i", tu restes avec les privilèges "root" en permanence jusqu'à ce que tu tapes "exit" pour mettre fin au sudo.
Il y a la possibilité de ne pas donner aux utilisateurs l'accès à "sudo", ça élimine toute tentative de permanence des privilèges !
À défaut, si l'accès à "sudo" est indispensable aux utilisateurs, pour en limiter la portée, tu peux créer un script appelé "sudo", qui remplacera la commande "sudo" du système, et dans lequel tu appelleras toi-même la commande "sudo" sans aucune option "-i" ou "-s" pour l'exécution d'une seule ligne de commande...

nam1962

Ok, pigé ! Une sorte d'alias en fait (dans le script, rien n'empèche en plus de renseigner un log pour suivre les manips des utilisateurs.)

bruno

Bonjour,

sudo -i cela peut être utile dans certains cas où on a besoin d'un shell root. Le bloquer ne me paraît pas être une bonne idée.

Il vaudrait mieux définir la variable TMOUT pour fermer automatiquement la session root au bout du temps spécifié.

tambakoly

Merci pour vos reponses.
Au fait s'il y'a plusieurs admins, et qui ont tous droit à sudo, dès qu'un utilisateur fait sudo -i, et tapes des commandes, tout ce qu'on voit dans les logs, c'est root.
Donc on ne peut pas savoir lequel de nous à saisi ces commandes.
Mais en tapant sa commande précédé du mot clef sudo, là; les logs relèvent le nom de l'utilisateur qui a utilisé sudo.
Voila pourquoi je cherche un moins de bloquer sudo -i et sudo -s.

grandtoubab

Salut
sudo -i c'est sudo et bannir un parametre ça va pas être facile

d'apres
https://www.sudo.ws/man/1.8.3/sudo.man.html
et
https://www.sudo.ws/man/1.8.3/sudoers.man.html

sudo -i est de plus un cas spécial

As a special case, if sudo's -i option (initial login) is specified, sudoers will initialize the environment regardless of the value of env_reset. The DISPLAY, PATH and TERM variables remain unchanged; HOME, MAIL, SHELL, USER, and LOGNAME are set based on the target user.

peut etre journaliser tout en indiquant dans /etc/sudoers

Defaults log_input

ce qui créé une arborescence sudo-io dans /var/log

pour voir toutes les options en cours, dans une fenêtre terminal root
sudo -V

tambakoly

Finalement, apres moult recherches, voilà la solution qui marche pour mon problème:
- Enumérer dans le fichier sudoers, la liste des commandes que chacun des admin a droit, en les séparant par des virgules, avec les chemins absolus. Exemple : /bin/cd, /bin/gunzip, /bin/rmdir, /bin/ls, /bin/dir
- Ne pas ajouter à la liste les shell disponibles ( /bin/sh, /bin/bash) pour cet utilisateur.

En procédant ainsi l'admin qui a les droits sudo est obligé de saisir le mot clef sudo devant les commandes auxquels il a droit.
Et lorsque qu'il éssaie sudo -i ou sudo -s, le termine lui indique q'uil n'a pas ce droit. Ainsi dans les logs on voit clairement le nom de l'utilisateur qui a usé de sudo.

Merci à tous pour les pistes.