Adicionando um usuário ao grupo sudo vs criando um arquivo sudoers

Question

Qual é a diferença prática entre:

• adicionando um usuário ao grupo sudo (Debian) ou wheel (RHEL)

  sudo usermod -aG sudo/wheel <username>
  

vs

• criando um arquivo chamado username com o seguinte conteúdo em /etc/sudoers.d/

  username ALL=(ALL:ALL) ALL
  

Answer 1

Diferença efetiva? Não muito. O maior que posso imaginar é que, adicionando o usuário ao grupo sudoers (ou qualquer grupo que seja necessário), o usuário precisa efetuar logout / in ou usar newgrp para realmente se tornar um membro desse grupo e ser capaz desudo, enquanto um arquivo em /etc/sudoers.d/ não exigiria essa etapa extra.

Manutenção de longo prazo, etc., com mais de um usuário envolvido ... a participação no grupo pode ser "melhor" - realmente se resume ao fluxo de trabalho, etc., e isso rapidamente leva essa questão ainda mais longe aquela área escura e cinzenta conhecida como "respostas baseadas em opinião". Obviamente, pode haver algumas razões técnicas para escolher uma sobre a outra (ou seja, para o www-user to sudo e você não quer ou não pode iniciar / parar o servidor da Web), mas "o que é melhor" é quase sempre opinião e situação baseada.

    

Answer 2

A única diferença prática que vejo é na situação em que o arquivo sudoers é um padrão compartilhado (implantado) entre máquinas diferentes. (E o banco de dados do usuário / grupo não é, por algum motivo, compartilhado. Uma situação improvável, IMO.)

Nesse caso, o usuário adicionado ao grupo sudo / wheel poderá executar qualquer comando como qualquer usuário somente nessa máquina, enquanto o usuário com uma entrada explícita no arquivo sudoers será capaz de executar qualquer comando como qualquer usuário em todas as máquinas.