Разрешить user1 «su - user2» без пароля

Мне нужно разрешить пользователю martinпереключаться на пользователя martin-testбез пароля

su - martin-test

Я думаю, что это можно настроить в /etc/pam.d/su. В этом файле уже есть строки, которые можно раскомментировать. Однако мне не нравится идея добавления пользователя martinв группу wheel. Я не хочу давать martinбольше привилегий, чем возможность переключиться на martin-test. Я тоже не хочу использовать sudo.

Как лучше всего это сделать, сохранив при этом martinминимальные привилегии пользователя ?

Добавьте следующие строки прямо под pam_rootok.soстрокой в ​​вашем /etc/pam.d/su:

auth  [success=ignore default=1] pam_succeed_if.so user = martin-test
auth  sufficient                 pam_succeed_if.so use_uid user = martin

Эти строки выполняют проверки с использованием pam_succeed_if.soмодуля. Смотрите также синтаксис файла конфигурации Linux-PAM, чтобы узнать больше о authстроках.

• Первые проверки линии ли целевой пользователь является martin-test. Если это так, ничего не происходит ( success=ignore), и мы продолжаем на следующей строке, чтобы проверить текущего пользователя . Если это не так, следующая строка будет пропущена ( default=1), и мы продолжим на последующих строках с обычными шагами аутентификации.
• Вторая строка проверяет, является ли текущий пользователь martin. Если это так, система считает процесс аутентификации успешным и возвращает ( sufficient). Если это не так, ничего не происходит, и мы продолжаем в последующих строках с обычными шагами аутентификации.

Вы также можете ограничиться suгруппой, здесь группа allowedpeopleможет suбез пароля:

auth sufficient pam_succeed_if.so use_uid user ingroup allowedpeople

Если вы не хотите менять или использовать группы sudo, используйте модуль pam, вызываемый pam_execдля выполнения внешних сценариев на этапе pam.

Добавьте строку в вашу /etc/pam.d/suпосле pam_rootok.soстроки:

auth       sufficient pam_exec.so quiet /path/to/script

/path/to/script имеет разрешения 755 (rwxr-xr-x) и следующий контент:

#!/bin/bash
if [ "$PAM_TYPE" == "auth" ] && \
[ "$PAM_USER" == "martin-test" ] && \
[ "$PAM_RUSER" == "martin" ]; then
  exit 0
else
  exit 1
fi

Таким образом, этот сценарий существует с успехом, если su:

• вызывается в контексте аутентификации,
• вызывающий пользователь martinи
• пользователь для аутентификации есть martin-test.

Видеть:

martin@host:~$ su - martin-test
martin-test@host:~$ exit
martin@host:~$ su - otheruser
Password: ****
otheruser@host:~$ 

Если у вас нет доступа к учетной записи root, но у вас есть пароль пользователя, которого вы хотите использовать для запуска команды, вы можете сделать следующее.

• Это спросит у вас пароль toto: su - toto -c whoami
• Это не будет: ssh toto @ localhost whoami

Просто установите ваш открытый ключ в авторизованных ключах toto

Мое простое решение:

sudo login -f martin-test

Если вы хотите избежать sudo любой ценой, я думаю, что это должно быть возможно поместить в скрипт:

1. принадлежит root и имеет права root (с использованием флага setuid )
2. исполняемый всеми, также без всякого sudo.

Тем не менее, я не могу выяснить chown rootи chmod +s ToTest.shбиты, чтобы сделать это на самом деле работает:

#!/usr/bin/env bash
echo howdy, I am $(whoami)
sudo login -f martin-test

Я все еще работаю как мой обычный пользователь, как говорит мне эхо. И все равно требуется пароль sudo. Если бы он работал от имени root, можно было бы покончить с sudoпоследней строкой ...