Como criar um sudorule no freeIPA para o sudoedit embutido

Question

Atualmente, quando desejo conceder acesso a um grupo de usuários para editar um arquivo, procedo da seguinte forma:

ipa sudocmd-add --desc=Vi IMproved default-mode, no-exec, no-suspend mode' '/usr/bin/rvim'
ipa sudocmdgroup-add edition --desc='commands for restricted edition'
ipa sudocmdgroup-add-member edition --sudocmds=/usr/bin/rvim
ipa sudorule-add edition-4-operators --desc='Operator access to restricted edition commands'
ipa sudorule-add-allow-command edition-4-operators --sudocmdgroups=edition

e depois o resto das opções relacionadas ao HBAC, SELinux, etc.

Desejo substituir /usr/bin/rvim pelo sudoedit(8) incorporado em todos os sudorules do meu servidor freeIPA .

Preciso declarar sudoedit como sudocmd como de costume? Posso adicionar diretamente sudoedit ao sudocmdgroup sem declará-lo como sudocmd anteriormente?

    

Answer 1

Esta é a maneira de fazer isso (na verdade, um exemplo prático):

#  ipa sudocmd-add --desc='sudoedit configuration file of IPv4 packet filtering and NAT' 'sudoedit /etc/sysconfig/iptables'
--------------------------------------------------------------
Added Sudo Command "sudoedit /etc/sysconfig/iptables"
--------------------------------------------------------------
  Sudo Command: sudoedit /etc/sysconfig/iptables
  Description: sudoedit configuration file of IPv4 packet filtering and NAT

#  ipa sudocmdgroup-add-member networking --sudocmds='sudoedit /etc/sysconfig/iptables'
  Sudo Command Group: networking
  Description: commands for network configuration and troubleshooting
  Member Sudo commands: sudoedit /etc/sysconfig/iptables
-------------------------
Number of members added 1
-------------------------

Sendo sudoedit um sudo builtin

# ls -lrt /usr/bin/sudoedit
lrwxrwxrwx. 1 root root 4 Apr  8 09:00 /usr/bin/sudoedit -> sudo*

tentando adicionar o sudorule usando /usr/bin/sudoedit falhará com este erro:

$ sudo -e /etc/sysconfig/iptables
Sorry, user joe is not allowed to execute 'sudoedit /etc/sysconfig/iptables' as root on host.domain.com.

Funciona corretamente para sudo -e e sudoedit .