Existe alguma maneira de permitir que o usuário execute comandos por apenas 2 dias?

13

Como dar uma permissão de comando sudo por um tempo específico? existe alguma maneira de dar direitos para executar um comando específico por 2 dias apenas no arquivo sudoers?

    
por Abbas Kapasi 09.10.2015 / 08:20

1 resposta

18

O arquivo sudoers não suporta restrição baseada em tempo, mas há um método fácil. Crie um arquivo com suas alterações em /etc/sudoers.d/ (com sudo visudo -f /etc/sudoers.d/yourfile ):

Adicione a um arquivo (exemplo: file.sh ) o seguinte

mv /etc/sudoers.d/yourfile /etc/sudoers.d/.yourfile

E isso desativará suas alterações:

 sudo at -f file.sh 2pm + 2 days

Exemplo:

at -f file.sh 2pm + 2 days
warning: commands will be executed using /bin/sh
job 4 at Thu Oct 15 14:00:00 2015

Nesse caso, o arquivo seria movido às 14h, dois dias depois de você emitir o comando. O manual at tem algumas opções (você pode usar uma hora, dias, semanas , meses, anos, palavras-chave como próximo ou adicionar / subtrair períodos). Tenha alguns testes com a opção de ter certeza de que você entendeu (algo a considerar: é importante começar o at antes ou depois das 14h do dia).

at também sobrevive a reinicializações, então é uma boa ferramenta para usar para esse tipo de coisa. E você pode alternar o acesso ...

sudo mv /etc/sudoers.d/.yourfile /etc/sudoers.d/yourfile | at 2pm + 2 days
sudo mv /etc/sudoers.d/yourfile /etc/sudoers.d/.yourfile | at 2pm + 4 days
sudo mv /etc/sudoers.d/.yourfile /etc/sudoers.d/yourfile | at 2pm + 6 days
sudo mv /etc/sudoers.d/yourfile /etc/sudoers.d/.yourfile | at 2pm + 8 days

e faça esse usuário enlouquecer (wtf agora eu posso fazer isso).

O README em /etc/sudoers/ :

# As of Debian version 1.7.2p1-1, the default /etc/sudoers file created on
# installation of the package now includes the directive:
# 
#   #includedir /etc/sudoers.d
# 
# This will cause sudo to read and parse any files in the /etc/sudoers.d 
# directory that do not end in '~' or contain a '.' character.
# 
# Note that there must be at least one file in the sudoers.d directory (this
# one will do), and all files in this directory should be mode 0440.
# 
# Note also, that because sudoers contents can vary widely, no attempt is 
# made to add this directive to existing sudoers files on upgrade.  Feel free
# to add the above directive to the end of your /etc/sudoers file to enable 
# this functionality for existing installations if you wish!
#
# Finally, please note that using the visudo command is the recommended way
# to update sudoers content, since it protects against many failure modes.
# See the man page for visudo for more information.

Se eu ler isso corretamente, ele não executará nenhum arquivo com um "." em qualquer lugar no nome. Então, o primeiro comando mv eu coloquei o "." na frente, também invisível. Se corretamente assumido você pode colocar um "." qualquer lugar. Cuidado com o "~", esse é usado como um recurso de "backup" por editores como o gEdit.

at não está instalado por padrão. Para instalar

sudo apt-get install at
    
por Rinzwind 09.10.2015 / 09:14

Tags