مقدمة للدواس على OpenBSD

• خلفية
• التركيب
• ترتيب
• الاستخدام
• أفضل الممارسات
• النصائح والحيل

خلفية

بديل OpenBSD sudoهو doas، على الرغم من أنه لا يعمل بنفس الطريقة التي يعمل بها sudo ويتطلب بعض التكوين. وهو اختصار لـ "المنفذ الفرعي المخصص لتطبيق openbsd". كان OpenBSD 5.8 ، الذي صدر في عام 2015 ، أول من شمله doas. تم إنشاؤه بواسطة Ted Unangst بعد أن كان غير راضٍ عن تعقيد sudo ولديه مشاكل في تكوين sudo الافتراضي.

و doasالأمر بسيط حسب التصميم ولا يحتوي على الميزات المتقدمة اللازمة للبنى التحتية مسؤول النظام مزيدا من التفاصيل. بالنسبة لمعظم الناس ، هذا أكثر من كاف. إذا كنت بحاجة sudo، قم بتثبيته مع pkg_add sudoالجذر.

التركيب

تم تثبيت برنامج OpenBSD الإصدار 5.8 والإصدارات الأحدث doasمسبقًا.

ترتيب

لمنح المستخدمين في مجموعة العجلات حق الوصول إلى doas، أضف ما يلي إلى /etc/doas.conf. ستحتاج إلى وصول الجذر لتحرير هذا الملف.

permit :wheel

هذا سيمنح جميع المستخدمين في مجموعة العجلات الإذن بتنفيذ الأوامر مثل أي مستخدم.

إذا كنت ترغب في أن يتمكن المستخدمون من إدخال كلمة المرور الخاصة بهم مرة واحدة ، فلن تضطر إلى إدخالها لفترة من الوقت ، استخدم persistالخيار. فيما يلي مثال يمنح أذونات لمجموعة العجلة فقط:

permit persist :wheel

يمكنك بدلاً من ذلك استخدام nopassالخيار إذا كنت تريد ألا يضطروا أبدًا إلى إدخال كلمة المرور الخاصة بهم:

permit nopass :wheel

إذا كنت تريد أن يتمتع المستخدم "mynewuser" بحقوق المسؤول ، فيمكنك إما إضافتها إلى مجموعة العجلة عن طريق تشغيلها usermod -G wheel mynewuserكجذر أو إضافة خط إلى حسابك /etc/doas.confبحيث يبدو إلى حد ما كما يلي:

permit nopass :wheel
permit nopass mynewuser

يفترض هذا المثال أنك لا تحتاج إلى المستخدمين لإدخال كلمة مرور عند الاستخدام doas. إذا كنت ترغب في تعيينها بحيث لا يُسمح للمستخدم الجديد بتنفيذ الأوامر إلا كمستخدم www ، فسيكون التكوين كما يلي:

permit nopass :wheel
permit nopass mynewuser as www

إذا كنت تريد أن يتمكن mynewuser من استخدام الأمر "vim" فقط مع doas ، فاستخدم التكوين التالي:

permit nopass :wheel
permit nopass mynewuser as www cmd vim

هناك خيارات تكوين أخرى ، ولكن تلك التي يتم تناولها هنا هي الأكثر شيوعًا. إذا كنت ترغب في قراءة المزيد ، يمكنك استخدام الأمر man doas.confلقراءة صفحة doas.conf (5).

اختبار ملفات التكوين

لاختبار ملف التكوين ، استخدم doas -C /etc/doas.confالأمر. إذا قمت بتوفير أمر بعد ذلك ، على سبيل المثال doas -C /etc/doas.conf vim، سيخبرك ما إذا كان لديك إذن بتشغيل أمر أم لا دون محاولة تنفيذ الأمر.

الاستخدام

يمكن للمستخدم تشغيل الأمر echo "test"كجذر باستخدام الأمر: doas echo "test"

يمكن للمستخدم الذي لديه أذونات لاستخدام doas لرفع نفسه إلى المستخدم "www" تشغيل الأمر vim /var/www/http/index.htmlباسم المستخدم "www" باستخدام الأمر: doas -u www vim index.html هذا مفيد لشخص يدير خادم الويب ولكن ليس لديه أذونات مستخدم خارق كاملة.

أفضل الممارسات

يوصى بشدة باستخدام التصريح بدلاً من الرفض حيثما أمكن. إذا رفضت مستخدمًا من استخدام أمر معين ، فقد يتمكن من الفرار باستخدام مسار أو اسم بديل لهذا الأمر إذا كان موجودًا. يمكنهم أيضًا نسخ الملف القابل للتنفيذ للأمر إلى دليل الصفحة الرئيسية الخاص بهم ثم تشغيل هذا الملف القابل للتنفيذ ، وبالتالي هزيمة نظام الأذونات الخاص بك.

بشكل عام ، من الأفضل استخدام doas بدلاً من استخدام su لأنه لا يجب على أحد مشاركة كلمة مرور الجذر. لا توجد فرصة لأن يقوم شخص ما بتغييرها ، ونسيانها ، وحظر الجميع خارج النظام إذا استخدم الجميع كلمة المرور الخاصة بهم للوصول إلى الجذر. يتم الاحتفاظ بالسجلات /var/log/secure.

النصائح والحيل

يمكنك الاحتفاظ بجميع متغيرات بيئتك باستخدام Keepenv ، وهو أمر مفيد إذا قمت بتعيين المحرر على شيء ما ولا تريد تغييره عندما تصبح مستخدمًا آخر. هنا مثال مع mynewuser:

permit nopass keepenv mynewuser

في بعض الأحيان ، هناك حالات حيث يمكن للكتابة فوق كل متغير بيئة أن يكسر الأشياء ، ولكن مع setenv ، يمكنك اختيار واختيار أي منها تريد نقله. إليك مثال سيبقي محررك مضبوطًا على ما تريده للاستخدام مع git وبعض الأشياء الأخرى.

permit nopass setenv { VISUAL EDITOR } mynewuser

يمكنك أيضًا استخدام setenv لإزالة متغيرات البيئة (عن طريق وضع شرطة قبل كل واحدة تريد إزالتها) أو تعيينها على أشياء محددة بعلامة يساوي. على سبيل المثال ، إذا كنت تريد إزالة متغير البيئة VISUAL وتعيين EDITOR على vim ، فيمكنك استخدام سطر التكوين هذا:

permit nopass setenv { -VISUAL EDITOR=vim } mynewuser

إذا doasتذكرت كلمة المرور الخاصة بك ، يمكنك القيام doas -Lبها لجعلها تنسى كلمة المرور.