Einführung in doas unter OpenBSD

• Hintergrund
• Installation
• Aufbau
• Verwendungszweck
• Empfohlene Vorgehensweise
• Tipps und Tricks

Hintergrund

Die Alternative zu OpenBSD sudoist doas, obwohl es nicht wie sudo funktioniert und eine gewisse Konfiguration erfordert. Es ist eine Abkürzung für "Dedicated OpenBSD Application Subexecutor". OpenBSD 5.8, das 2015 veröffentlicht wurde, war das erste, das aufgenommen wurde doas. Es wurde von Ted Unangst erstellt, nachdem er mit der Komplexität von sudo unzufrieden war und Probleme mit der Standard-sudo-Konfiguration hatte.

Der doasBefehl ist von Natur aus einfach und enthält keine erweiterten Funktionen, die für ausgefeilte Sysadmin-Infrastrukturen erforderlich sind. Für die meisten Menschen ist es mehr als genug. Wenn nötig sudo, installieren Sie es mit pkg_add sudoals root.

Installation

OpenBSD Version 5.8 und höher wurde doasvorinstalliert.

Aufbau

Fügen Sie Folgendes hinzu, um Benutzern in der Radgruppe Zugriff zu gewähren . Sie benötigen Root-Zugriff, um diese Datei zu bearbeiten.doas/etc/doas.conf

permit :wheel

Dadurch erhalten alle Benutzer in der Radgruppe die Berechtigung, Befehle wie jeder Benutzer auszuführen.

Wenn Sie möchten, dass Benutzer ihr Kennwort einmal eingeben können und es eine Weile nicht eingeben müssen, verwenden Sie die persistOption. Hier ist ein Beispiel, das nur der Radgruppe Berechtigungen erteilt:

permit persist :wheel

Sie können stattdessen die nopassOption verwenden, wenn Sie möchten, dass sie niemals ihr Passwort eingeben müssen:

permit nopass :wheel

Wenn Sie möchten, dass der Benutzer "mynewuser" über Administratorrechte verfügt, können Sie diese entweder zur Radgruppe hinzufügen, indem Sie usermod -G wheel mynewuserals root ausgeführt werden, oder eine Zeile zu Ihrer hinzufügen, /etc/doas.confdamit sie wie folgt aussieht:

permit nopass :wheel
permit nopass mynewuser

In diesem Beispiel wird davon ausgegangen, dass Ihre Benutzer bei der Verwendung kein Kennwort eingeben müssen doas. Wenn Sie festlegen möchten, dass mynewuser nur Befehle als WWW-Benutzer ausführen darf, lautet die Konfiguration wie folgt:

permit nopass :wheel
permit nopass mynewuser as www

Wenn Sie möchten, dass mynewuser nur den Befehl "vim" mit doas verwenden kann, verwenden Sie die folgende Konfiguration:

permit nopass :wheel
permit nopass mynewuser as www cmd vim

Es gibt andere Konfigurationsoptionen, aber die hier behandelten sind die häufigsten. Wenn Sie mehr man doas.conflesen möchten , können Sie mit dem Befehl die Manpage doas.conf (5) lesen.

Konfigurationsdateien testen

Verwenden Sie den doas -C /etc/doas.confBefehl, um eine Konfigurationsdatei zu testen . Wenn Sie anschließend einen Befehl eingeben, doas -C /etc/doas.conf vimwird Ihnen beispielsweise mitgeteilt, ob Sie die Berechtigung zum Ausführen eines Befehls haben oder nicht, ohne zu versuchen, den Befehl auszuführen.

Verwendungszweck

Ein Benutzer kann den Befehl echo "test"als root ausführen, indem er den folgenden Befehl verwendet: doas echo "test"

Ein Benutzer, der über die Berechtigung verfügt, doas zu verwenden, um sich zum Benutzer "www" zu erheben, kann den Befehl vim /var/www/http/index.htmlals Benutzer "www" ausführen, indem er den folgenden Befehl verwendet: doas -u www vim index.html Dies ist nützlich für jemanden, der den Webserver verwaltet, jedoch nicht über die vollständigen Superuser-Berechtigungen verfügt.

Empfohlene Vorgehensweise

Es wird dringend empfohlen, die Genehmigung zu verwenden, anstatt sie nach Möglichkeit zu verweigern. Wenn Sie einem Benutzer die Verwendung eines bestimmten Befehls verweigern, kann er möglicherweise einen alternativen Pfad oder Namen dieses Befehls verwenden, falls dieser vorhanden ist. Sie können auch die ausführbare Datei des Befehls in ihr Ausgangsverzeichnis kopieren und diese ausführbare Datei dann ausführen, wodurch Ihr Berechtigungssystem beeinträchtigt wird.

Im Allgemeinen ist es besser, doas als su zu verwenden, da niemand das Root-Passwort teilen muss. Es besteht keine Chance, dass jemand es ändert, vergisst und alle aus dem System ausschließt, wenn jeder sein eigenes Kennwort für den Root-Zugriff verwendet. Protokolle werden aufbewahrt /var/log/secure.

Tipps und Tricks

Sie können alle Umgebungsvariablen mit keepenv beibehalten. Dies ist hilfreich, wenn Sie Ihren Editor auf etwas eingestellt haben und nicht möchten, dass er sich ändert, wenn Sie ein anderer Benutzer werden. Hier ist ein Beispiel mit mynewuser:

permit nopass keepenv mynewuser

Manchmal gibt es Situationen, in denen das Überschreiben jeder Umgebungsvariablen zu Problemen führen kann. Mit setenv können Sie jedoch auswählen, welche übertragen werden sollen. Hier ist ein Beispiel, mit dem Ihr Editor auf das eingestellt bleibt, was Sie für die Verwendung mit Git und einigen anderen Dingen möchten.

permit nopass setenv { VISUAL EDITOR } mynewuser

Sie können setenv auch verwenden, um Umgebungsvariablen zu entfernen (indem Sie vor jedem, den Sie entfernen möchten, einen Bindestrich einfügen) oder sie auf bestimmte Dinge mit einem Gleichheitszeichen setzen. Wenn Sie beispielsweise möchten, dass die Umgebungsvariable VISUAL entfernt und EDITOR auf vim gesetzt wird, verwenden Sie diese Konfigurationszeile:

permit nopass setenv { -VISUAL EDITOR=vim } mynewuser

Wenn Sie doassich an Ihr Passwort erinnert haben, können doas -LSie das Passwort vergessen lassen.