Forums Linux Autres OS Linux Debian

(none)

Le
Gaël - www.CoteObscur.net
Bonsoir.
Je sèche un peu sur un aspect de la configuration de 'sudo' (sur une Lenny).

L'utilisateur dont il est question a un path vers son dossier home
relativement long, je me demandais s'il était possible, et de quelle
manière, d'indiquer des chemins du genre :
mike ALL=NOPASSWD:~/bin/mon-binaire

Avec cette syntaxe par exemple, visudo m'indique très clairement un défaut
dans la syntaxe. Une idée pour résoudre ça, ou je mets tous les chemins
absolus des binaires ?


--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers debian-user-french-REQUEST@lists.debian.org
En cas de soucis, contactez EN ANGLAIS listmaster@lists.debian.org
Archive: http://lists.debian.org/8c76c5af0c06620b61ebfd80c086f260.squirrel@webmail.internetcom.tm.fr
Vos réponses
Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
Ken-Patrick Lehrmann
Le #23790011
Le 25/09/2011 19:12, "Gaël - www.CoteObscur.net" a écrit :
Bonsoir.
Je sèche un peu sur un aspect de la configuration de 'sudo' (sur une Lenny).

L'utilisateur dont il est question a un path vers son dossier home
relativement long, je me demandais s'il était possible, et de quelle
manière, d'indiquer des chemins du genre :
mike ALL=NOPASSWD:~/bin/mon-binaire




C'est possible en mettant « mike ALL=NOPASSWD:/home/mike/bin/mon-binaire »

Mais, ça me semble une mauvaise idée. Autant faire « mike
ALL=NOPASSWD:ALL », étant donné que mike pourra de toute façon tout
lancer en tant que root, s'il peut remplacer mon-binaire par ce qu'il
veut (au pif, le binaire de son shell préféré, ou un wrapper vers ce
binaire).

++
Ken-Patrick

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/
Répondre en citant
Basile Starynkevitch
Le #23790051
On Sun, 25 Sep 2011 20:48:43 +0200
Ken-Patrick Lehrmann
Le 25/09/2011 19:12, "Gaël - www.CoteObscur.net" a écrit :
> Bonsoir.
> Je sèche un peu sur un aspect de la configuration de 'sudo' (sur une Lenny).
>
> L'utilisateur dont il est question a un path vers son dossier home
> relativement long, je me demandais s'il était possible, et de quelle
> manière, d'indiquer des chemins du genre :

C'est possible en mettant « mike ALL=NOPASSWD:/home/mike/bin/mon-bina ire »

Mais, ça me semble une mauvaise idée. Autant faire « mike
ALL=NOPASSWD:ALL », étant donné que mike pourra de toute façon tout
lancer en tant que root, s'il peut remplacer mon-binaire par ce qu'il
veut (au pif, le binaire de son shell préféré, ou un wrapper vers ce
binaire).



Si on tient absolument à limiter un utilisateur précis à quelques scr ipts précis à
tourner sous root, on pourrait peut-être utiliser le paquet (et la comman de) super. On
peut aussi coder un wrapper en C qui soit setuid. Mais je n'en connais pas plus, n'ayant
pas ce genre de besoins.

Et à mon avis, si on se méfie de l'utilisateur à qui on donne accès à ce genre de choses,
il faut faire *très* attention. En particulier parce que pas mal de comma ndes donnent la
possibilité de lancer un shell, et une fois qu'on a lancé un shell sous root on peut tout
faire.

Cordialement.

--
Basile STARYNKEVITCH http://starynkevitch.net/Basile/
email: basile<at>starynkevitch<dot>net mobile: +33 6 8501 2359
8, rue de la Faiencerie, 92340 Bourg La Reine, France
*** opinions {are only mine, sont seulement les miennes} ***

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/
Répondre en citant
Aéris
Le #23790061
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Le 25/09/2011 20:00, "Gaël - www.CoteObscur.net" a écrit :
Bonsoir.
Je sèche un peu sur un aspect de la configuration de 'sudo' (sur une Lenny).

L'utilisateur dont il est question a un path vers son dossier home
relativement long, je me demandais s'il était possible, et de quelle
manière, d'indiquer des chemins du genre :
mike ALL=NOPASSWD:~/bin/mon-binaire

Avec cette syntaxe par exemple, visudo m'indique très clairement un défaut
dans la syntaxe. Une idée pour résoudre ça, ou je mets tous les chemins
absolus des binaires ?





$HOME ne passe pas mieux ?

- --
Aeris
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.11 (GNU/Linux)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org/

iQEcBAEBAgAGBQJOf3m9AAoJEK8zQvxDY4P9pCYH/AuiuQcnBhEAm/AwPsunanB1
JbejnvUzggA0hYQbdzjGFay2tJs6M8G0f7j/IinDr7F56qk8mmtj71NCizmIEr5f
ZvtakK9DSV0Q7CuAcgWjJ1SD9JoT2bo0sTSbHDo10akxpAadppU5FtGKfnwiSY0L
jO3LKA903gMfE0Su6StfUmfTqC1yXb1UYgahptFVv+iPEO7zjAhB4mFMepMPSIQx
0HSuSVFjlGkkzOc+iqGS2CaD7OtqpwvD8g3WFPN7imoRidYE24N90peOZarVlZHR
5KfcWV4GUmoN/V/Ddgq15ZiQNCW+cQgvH48PpG7/AtLtWblS6UYDceaGOFS1d5Q PE6
-----END PGP SIGNATURE-----

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/4e7f79c5$0$32187$
Répondre en citant
Gaël - www.CoteObscur.net
Le #23790421
Merci de l'idée (déjà testée malheureusement) mais non, pas mieux, comme
avec le tilde, visudo check la syntaxe à la fin de l'édition du fichier,
et indique une erreur.



-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Le 25/09/2011 20:00, "Gaël - www.CoteObscur.net" a écrit :
Bonsoir.
Je sèche un peu sur un aspect de la configuration de 'sudo' (sur une
Lenny).

L'utilisateur dont il est question a un path vers son dossier home
relativement long, je me demandais s'il était possible, et de quelle
manière, d'indiquer des chemins du genre :
mike ALL=NOPASSWD:~/bin/mon-binaire

Avec cette syntaxe par exemple, visudo m'indique très clairement un
défaut
dans la syntaxe. Une idée pour résoudre ça, ou je mets tous les
chemins
absolus des binaires ?





$HOME ne passe pas mieux ?

- --
Aeris
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.11 (GNU/Linux)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org/

iQEcBAEBAgAGBQJOf3m9AAoJEK8zQvxDY4P9pCYH/AuiuQcnBhEAm/AwPsunanB1
JbejnvUzggA0hYQbdzjGFay2tJs6M8G0f7j/IinDr7F56qk8mmtj71NCizmIEr5f
ZvtakK9DSV0Q7CuAcgWjJ1SD9JoT2bo0sTSbHDo10akxpAadppU5FtGKfnwiSY0L
jO3LKA903gMfE0Su6StfUmfTqC1yXb1UYgahptFVv+iPEO7zjAhB4mFMepMPSIQx
0HSuSVFjlGkkzOc+iqGS2CaD7OtqpwvD8g3WFPN7imoRidYE24N90peOZarVlZHR
5KfcWV4GUmoN/V/Ddgq15ZiQNCW+cQgvH48PpG7/AtLtWblS6UYDceaGOFS1d5Q > PE6
-----END PGP SIGNATURE-----

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/4e7f79c5$0$32187$






----------------------------------------------------
www.CoteObscur.net
----------------------------------------------------

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/
Répondre en citant
Pierre Meurisse
Le #23790871
Bonjour,

On Sun, Sep 25, 2011 at 09:22:54PM +0200, Basile Starynkevitch wrote:
On Sun, 25 Sep 2011 20:48:43 +0200
Ken-Patrick Lehrmann
> Le 25/09/2011 19:12, "Gaël - www.CoteObscur.net" a écrit :
> > Bonsoir.
> > Je sèche un peu sur un aspect de la configuration de 'sudo' (sur une Lenny).
> >
> > L'utilisateur dont il est question a un path vers son dossier home
> > relativement long, je me demandais s'il était possible, et de quelle
> > manière, d'indiquer des chemins du genre :
>
> C'est possible en mettant « mike ALL=NOPASSWD:/home/mike/bin/mon-binaire »
>
> Mais, ça me semble une mauvaise idée. Autant faire « mike
> ALL=NOPASSWD:ALL », étant donné que mike pourra de toute façon tout
> lancer en tant que root, s'il peut remplacer mon-binaire par ce qu'il
> veut (au pif, le binaire de son shell préféré, ou un wrapper vers ce
> binaire).

Si on tient absolument à limiter un utilisateur précis à quelques scripts précis à
tourner sous root, on pourrait peut-être utiliser le paquet (et la commande) super. On
peut aussi coder un wrapper en C qui soit setuid. Mais je n'en connais pas plus, n'ayant
pas ce genre de besoins.

Et à mon avis, si on se méfie de l'utilisateur à qui on donne accès à ce genre de choses,
il faut faire *très* attention. En particulier parce que pas mal de commandes donnent la
possibilité de lancer un shell, et une fois qu'on a lancé un shell sous root on peut tout
faire.



Si on met mon-binaire par exemple dans /usr/local/bin, l'utilisateur ne peut pas le
modifier.
My two cents.

Cordialement.

--
Pierre Meurisse

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/
Répondre en citant
Publicité
Poster une réponse
Anonyme