Erlaube user1 "su - user2" ohne Passwort

Ich muss zulassen martin, dass Benutzer martin-testohne Kennwort zu Benutzer wechseln

su - martin-test

Ich denke, das kann in konfiguriert werden /etc/pam.d/su. In dieser Datei befinden sich bereits einige Zeilen, die nicht kommentiert werden können. Die Idee, Benutzer martinzu einer Gruppe hinzuzufügen, gefällt mir jedoch nicht wheel. Ich möchte nicht martinmehr Privilegien geben, als wechseln zu können martin-test. Ich möchte auch nicht verwenden sudo.

Was wäre der beste Weg, dies zu tun und gleichzeitig die Rechte des Benutzers martinminimal zu halten?

Fügen Sie die folgenden Zeilen direkt unter der pam_rootok.soZeile in Ihrem ein /etc/pam.d/su:

auth  [success=ignore default=1] pam_succeed_if.so user = martin-test
auth  sufficient                 pam_succeed_if.so use_uid user = martin

Diese Zeilen führen Prüfungen mit dem pam_succeed_if.soModul durch. Weitere Informationen zu den authZeilen finden Sie auch in der Syntax der Linux-PAM-Konfigurationsdatei .

• Die erste Zeile prüft, ob der Zielbenutzer ist martin-test. Wenn dies der Fall ist, passiert nichts ( success=ignore) und wir fahren in der nächsten Zeile fort, um den aktuellen Benutzer zu überprüfen . Ist dies nicht der Fall, wird die nächste Zeile übersprungen ( default=1) und die nachfolgenden Zeilen werden mit den üblichen Authentifizierungsschritten fortgesetzt.
• Die zweite Zeile prüft, ob der aktuelle Benutzer ist martin. Wenn dies der Fall ist, betrachtet das System den Authentifizierungsprozess als erfolgreich und gibt ( sufficient) zurück. Ist dies nicht der Fall, passiert nichts und wir fahren in den folgenden Zeilen mit den üblichen Authentifizierungsschritten fort.

Sie können auch einschränken suzu einer Gruppe, hier die Gruppe allowedpeoplekann suohne Passwort:

auth sufficient pam_succeed_if.so use_uid user ingroup allowedpeople

Wenn Sie keine Gruppen ändern oder verwenden möchten sudo, verwenden Sie ein Pam-Modul, das aufgerufen wird pam_exec, um externe Skripts in einer Pam-Phase auszuführen.

Fügen Sie /etc/pam.d/sunach der pam_rootok.soZeile eine Zeile ein :

auth       sufficient pam_exec.so quiet /path/to/script

/path/to/script hat die Berechtigungen 755 (rwxr-xr-x) und den folgenden Inhalt:

#!/bin/bash
if [ "$PAM_TYPE" == "auth" ] && \
[ "$PAM_USER" == "martin-test" ] && \
[ "$PAM_RUSER" == "martin" ]; then
  exit 0
else
  exit 1
fi

Dieses Skript existiert also mit Erfolg, wenn su:

• wird im Rahmen der Authentifizierung aufgerufen,
• der anrufende Benutzer ist martinund
• der zu authentifizierende Benutzer ist martin-test.

Sehen:

martin@host:~$ su - martin-test
martin-test@host:~$ exit
martin@host:~$ su - otheruser
Password: ****
otheruser@host:~$ 

Wenn Sie keinen Zugriff auf das Root-Konto haben, aber das Kennwort des Benutzers haben, den Sie zum Ausführen eines Befehls verwenden möchten, können Sie Folgendes tun.

• Dies fragt Sie nach dem Passwort des Totos: su - toto -c whoami
• Dies wird nicht: ssh toto @ localhost whoami

Installieren Sie einfach Ihren öffentlichen Schlüssel in authorized_keys von toto

Meine einfache Lösung lautet:

sudo login -f martin-test

Wenn Sie sudo um jeden Preis vermeiden möchten, sollte es meiner Meinung nach möglich sein, dies in ein Skript einzufügen:

1. im Besitz von root und mit root-Rechten (mit dem setuid- Flag)
2. von jedermann ausführbar, auch ohne sudo.

Ich kann jedoch die chown rootund chmod +s ToTest.shBits nicht herausfinden , damit dies tatsächlich funktioniert:

#!/usr/bin/env bash
echo howdy, I am $(whoami)
sudo login -f martin-test

Ich laufe immer noch wie mein normaler Benutzer, wie das Echo mir sagt. Und es erfordert immer noch sudo Passwort. Wenn es als root laufen würde, könnte man das sudoin der letzten Zeile beseitigen ...