Hyrje në doas në OpenBSD

Sfondi

Alternativa e OpenBSD për sudoështë doas, megjithëse nuk funksionon njësoj si sudo dhe kërkon disa konfigurime. Është një akronim për "nënekzekutues të dedikuar të aplikacionit openbsd". OpenBSD 5.8, i lëshuar në 2015, ishte i pari që përfshiu doas. Ajo u krijua nga Ted Unangst pasi ai ishte i pakënaqur me kompleksitetin e sudo dhe kishte probleme me konfigurimin e paracaktuar të sudo.

doasKomandës është e thjeshtë me dashje dhe nuk përmban veçori të përparuara të nevojshme për infrastrukturën përpunuar Administrator Sistemi. Për shumicën e njerëzve, është më se e mjaftueshme. Nëse keni nevojë sudo, instaloni atë me pkg_add sudoroot.

Instalimi

Versioni OpenBSD 5.8 dhe më vonë është i doasparainstaluar.

Konfigurimi

Për t'u dhënë përdoruesve në grupin e rrotave akses te doas, shtoni sa vijon te /etc/doas.conf. Ju do të keni nevojë për qasje rrënjësore për të redaktuar këtë skedar.

permit :wheel

Kjo do t'u japë të gjithë përdoruesve në grupin e rrotave leje për të ekzekutuar komanda si çdo përdorues.

Nëse dëshironi që përdoruesit të mund të fusin fjalëkalimin e tyre një herë, atëherë nuk duhet ta fusin atë për një kohë, përdorni persistopsionin. Këtu është një shembull që i jep leje vetëm grupit të rrotave:

permit persist :wheel

Në vend të kësaj, ju mund të përdorni nopassopsionin nëse dëshironi që ata të mos fusin kurrë fjalëkalimin e tyre:

permit nopass :wheel

Nëse dëshironi që përdoruesi "mynewuser" të ketë të drejta administratori, ju mund t'i shtoni ato në grupin e rrotave duke ekzekutuar usermod -G wheel mynewusersi rrënjë ose të shtoni një rresht në tuajin /etc/doas.confqë të duket disi si më poshtë:

permit nopass :wheel
permit nopass mynewuser

Ky shembull supozon se nuk keni nevojë që përdoruesit tuaj të fusin një fjalëkalim kur përdorni doas. Nëse dëshironi ta vendosni në mënyrë që mynewuser të lejohet të ekzekutojë komanda vetëm si përdorues www, konfigurimi do të jetë si më poshtë:

permit nopass :wheel
permit nopass mynewuser as www

Nëse dëshironi që mynewuser të jetë në gjendje të përdorë vetëm komandën "vim" me doas, përdorni konfigurimin e mëposhtëm:

permit nopass :wheel
permit nopass mynewuser as www cmd vim

Ka opsione të tjera konfigurimi, por ato që trajtohen këtu janë më të zakonshmet. Nëse dëshironi të lexoni më shumë, mund të përdorni komandën man doas.confpër të lexuar faqen e menaxhimit të doas.conf(5).

Testimi i skedarëve të konfigurimit

Për të testuar një skedar konfigurimi, përdorni doas -C /etc/doas.confkomandën. Nëse jepni një komandë më pas, p.sh. doas -C /etc/doas.conf vim, ajo do t'ju tregojë nëse keni leje për të ekzekutuar një komandë apo jo pa u përpjekur të ekzekutoni komandën.

Përdorimi

Një përdorues mund të ekzekutojë komandën echo "test"si rrënjë duke përdorur komandën: doas echo "test"

Një përdorues që ka leje për të përdorur doas për t'u ngritur në përdoruesin "www" mund të ekzekutojë komandën vim /var/www/http/index.htmlsi përdorues "www" duke përdorur komandën: doas -u www vim index.html Kjo është e dobishme për dikë që menaxhon serverin në internet, por nuk ka leje të plota të superpërdoruesit.

Praktikat më të mira

Rekomandohet shumë që të përdorni lejen në vend që ta mohoni aty ku është e mundur. Nëse i mohoni një përdoruesi të përdorë një komandë specifike, ai mund të jetë në gjendje të shmangë përdorimin e një rruge ose emri alternativ të asaj komande nëse ekziston. Ata gjithashtu mund të kopjojnë ekzekutuesin e komandës në drejtorinë e tyre kryesore dhe më pas ta ekzekutojnë atë, duke mposhtur kështu sistemin tuaj të lejeve.

Në përgjithësi, është një ide më e mirë të përdorni doas sesa të përdorni su sepse askush nuk duhet të ndajë fjalëkalimin rrënjë. Nuk ka asnjë shans që dikush ta ndryshojë atë, ta harrojë atë dhe të mbyllë të gjithë jashtë sistemit nëse të gjithë përdorin fjalëkalimin e tyre për qasje në rrënjë. Regjistrat mbahen në /var/log/secure.

Këshilla dhe truket

Ju mund t'i mbani të gjitha variablat e mjedisit tuaj me keepenv, gjë që është e dobishme nëse e keni të vendosur redaktuesin në diçka dhe nuk dëshironi që ajo të ndryshojë kur të bëheni një përdorues tjetër. Këtu është një shembull me mynewuser:

permit nopass keepenv mynewuser

Ndonjëherë, ka situata ku mbishkrimi i çdo ndryshoreje mjedisi mund të prishë gjërat, por me setenv, ju mund të zgjidhni dhe zgjidhni cilat të mbartini. Këtu është një shembull që do ta mbajë redaktorin tuaj të vendosur për çfarëdo që dëshironi për përdorim me git dhe disa gjëra të tjera.

permit nopass setenv { VISUAL EDITOR } mynewuser

Ju gjithashtu mund të përdorni setenv për të hequr variablat e mjedisit (duke vendosur një vizë përpara secilës që dëshironi të hiqni) ose t'i vendosni ato në gjëra specifike me një shenjë barazimi. Për shembull, nëse dëshironi që ai të hiqte variablin e mjedisit VISUAL dhe të vendosni EDITOR në vim, do të përdornit këtë linjë konfigurimi:

permit nopass setenv { -VISUAL EDITOR=vim } mynewuser

Nëse e doaskeni mbajtur mend fjalëkalimin tuaj, mund të bëni doas -Lpër ta bërë atë të harrojë fjalëkalimin.