Суперпользователь root и sudo

4.1 Суперпользователь root

Проверка прав, которую мы разбирали в части 3, выполняется для всех процессов, кроме одного случая. Если процесс работает с UID 0, ядро права на файлы не проверяет: такому процессу доступны чтение, изменение и удаление любого файла. Учётная запись с UID 0 называется root, или суперпользователь.

Права root нужны для задач, которые меняют систему целиком: установки программ, создания пользователей, изменения файлов в /etc. Обычная работа — редактирование кода, запуск программ, чтение документации — прав root не требует.

Пароль root в Ubuntu по умолчанию не задан, и войти под root напрямую нельзя. Вместо этого пользователь из группы sudo выполняет отдельные команды с правами root через программу sudo (substitute user do — «выполнить от имени другого пользователя»).

1234

1. 1sudo whoami: команда выполнена от имени root
2. 2UID 0
3. 3обычному пользователю каталог /root закрыт
4. 4с правами root содержимое каталога доступно

Весь снимок ↗

Команды через sudo выполняются с UID 0; каталог /root закрыт для обычного пользователя.

Что показывает снимок. Команды через sudo выполняются с UID 0; каталог /root закрыт для обычного пользователя и открыт через sudo.

Где это пригодится. sudo whoami — быстрая проверка, работают ли права администратора у текущего пользователя.

4.2 Как sudo решает, можно ли выполнить команду

Программа sudo запускается с правами root: у файла /usr/bin/sudo установлен специальный бит setuid, поэтому программа работает от имени владельца файла — root — независимо от того, кто её вызвал. Получив права root, sudo проверяет, разрешено ли вызвавшему пользователю выполнить эту команду. Правила записаны в файле /etc/sudoers и в файлах каталога /etc/sudoers.d.

Затем sudo запрашивает пароль того пользователя, который её вызвал; пароль root для этого не нужен. Пароль спрашивается и у пользователя, для которого правил нет: только после ввода sudo сообщает об отказе, команду не выполняет и записывает попытку в журнал. Так посторонний по реакции sudo не узнаёт, есть ли у учётной записи права. После правильного ввода пароль некоторое время не спрашивается повторно: в Ubuntu 15 минут в одном терминале.

Команда sudo -l выводит правила, которые действуют для текущего пользователя. Сам файл /etc/sudoers обычный пользователь прочитать не может. Изменяют его только командой sudo visudo: она проверяет синтаксис перед сохранением. Ошибка в этом файле, сохранённая обычным редактором, может отключить sudo для всех пользователей.

123

1. 1правила, которые действуют для ubuntu
2. 2правило группы sudo: любые команды от имени любого пользователя
3. 3правило Live-сеанса: без пароля

Весь снимок ↗

sudo -l перечисляет правила для текущего пользователя.

Что показывает снимок. Для ubuntu действуют два правила: правило группы sudo и правило Live-сеанса без пароля.

Где это пригодится. sudo -l показывает, какие команды разрешены пользователю. На серверах правила часто ограничивают отдельными командами, например перезапуском одной службы.

1234567

1. 1файл только для чтения, доступ — у root и группы root
2. 2правило для root
3. 3% — правило для группы sudo
4. 4на любом компьютере, от имени любого пользователя и группы
5. 5любые команды
6. 6дополнительные правила из каталога sudoers.d
7. 7файл, созданный Live-сеансом

Весь снимок ↗

Файл /etc/sudoers без комментариев.

Что показывает снимок. В /etc/sudoers правила для root, групп admin и sudo и подключение каталога sudoers.d; файл только для чтения.

Где это пригодится. Собственные правила добавляют отдельным файлом в /etc/sudoers.d через sudo visudo -f: основной файл остаётся без изменений.

На схеме ниже показан путь команды sudo whoami для трёх пользователей: ubuntu в Live-сеансе, viktor, который не состоит в группе sudo, и пользователя установленной Ubuntu из группы sudo. Первые два сценария совпадают со снимками занятия.

4.3 Журнал sudo

Каждый вызов sudo записывается в системный журнал: кто вызвал, в каком терминале, в каком каталоге, от чьего имени и какую команду. По этим записям администратор восстанавливает, кто и когда менял систему. Журнал читает команда journalctl; условие _COMM=sudo отбирает записи программы sudo, -n 6 — последние шесть.

1234567

1. 1время записи
2. 2кто вызвал sudo
3. 3терминал
4. 4каталог, в котором выполнялась команда
5. 5от чьего имени выполнена команда
6. 6полная команда
7. 7сеанс root открыт и закрыт

Весь снимок ↗

Каждая команда через sudo оставляет запись в журнале.

Что показывает снимок. Каждая команда через sudo оставила три записи: кто, где и что выполнил, открытие и закрытие сеанса root.

Где это пригодится. При разборе сбоя на сервере по этим записям восстанавливают, кто и какую команду выполнил с правами root.

4.4 Оболочка root: sudo -i

Команда sudo -i открывает командную оболочку root: все следующие команды выполняются с UID 0 без слова sudo перед ними. Приглашение меняется: вместо имени пользователя стоит root, а знак $ заменяется на #. Команда exit закрывает оболочку root и возвращает к обычному пользователю.

В журнал в этом случае попадает только сама команда sudo -i. Команды внутри оболочки root отдельно не записываются, поэтому по журналу уже нельзя восстановить, какие команды выполнил администратор.

1234

1. 1приглашение root заканчивается знаком #
2. 2домашний каталог root — /root
3. 3exit закрывает оболочку root
4. 4снова обычный пользователь: знак $

Весь снимок ↗

Оболочка root: знак # в приглашении и домашний каталог /root.

Что показывает снимок. В оболочке root приглашение заканчивается знаком #, текущий каталог — /root; после exit снова пользователь ubuntu.

Где это пригодится. По знаку # в приглашении сразу видно, что команды выполняются с правами root, и можно вовремя закрыть оболочку.

4.5 Принцип минимальных привилегий

Постоянная работа под root нарушает этот принцип. У root нет защиты от ошибок: система не остановит ни опечатку, ни вредную программу. Работа через sudo оставляет права root только для отдельных команд и записывает каждую из них в журнал.