OpenBSD에서 doas 소개

• 배경
• 설치
• 구성
• 용법
• 모범 사례
• 팁과 요령

배경

suBSD 와 같은 방식으로 작동하지 않고 일부 구성이 필요하지만 OpenBSD의 대안은 sudo입니다 doas. "전용 openbsd 응용 프로그램 하위 실행자"의 약자입니다. 2015 년에 릴리스 된 OpenBSD 5.8이 처음으로 포함되었습니다 doas. Ted Unangst가 sudo의 복잡성에 불만을 품고 기본 sudo 구성에 문제가 발생한 후 작성되었습니다.

이 doas명령은 설계 상 단순하며 정교한 sysadmin 인프라에 필요한 고급 기능을 포함하지 않습니다. 대부분의 사람들에게 충분합니다. 필요한 경우 루트로 sudo설치하십시오 pkg_add sudo.

설치

OpenBSD 버전 5.8 이상이 doas사전 설치되었습니다.

구성

휠 그룹의 사용자에게에 대한 액세스 권한 을 부여하려면 doas에 다음을 추가하십시오 /etc/doas.conf. 이 파일을 편집하려면 루트 액세스 권한이 필요합니다.

permit :wheel

휠 그룹의 모든 사용자에게 명령을 실행할 수있는 권한이 부여됩니다.

사용자가 비밀번호를 한 번 입력 할 수있게하려면 잠시 동안 비밀번호를 입력하지 않아도됩니다 persist. 옵션을 사용하십시오 . 다음은 wheel 그룹에만 권한을 부여하는 예입니다.

permit persist :wheel

nopass비밀번호를 입력 할 필요가없는 경우 옵션을 대신 사용할 수 있습니다 .

permit nopass :wheel

"mynewuser"사용자에게 관리자 권한을 부여하려면 usermod -G wheel mynewuser루트 로 실행하여 휠 그룹에 추가하거나 라인을 추가 /etc/doas.conf하여 다음과 같이 보일 수 있습니다 .

permit nopass :wheel
permit nopass mynewuser

이 예에서는를 사용할 때 사용자가 비밀번호를 입력 할 필요가 없다고 가정합니다 doas. mynewuser가 www 사용자로만 명령을 실행할 수 있도록 설정하려는 경우 구성은 다음과 같습니다.

permit nopass :wheel
permit nopass mynewuser as www

mynewuser가 doas와 함께 "vim"명령 만 사용할 수있게하려면 다음 구성을 사용하십시오.

permit nopass :wheel
permit nopass mynewuser as www cmd vim

다른 구성 옵션이 있지만 여기에서 다루는 옵션이 가장 일반적입니다. 자세한 내용을 보려면 명령 man doas.conf을 사용 하여 doas.conf (5) 맨 페이지를 읽으십시오.

구성 파일 테스트

구성 파일을 테스트하려면 doas -C /etc/doas.conf명령을 사용하십시오 . 예를 들어 이후에 명령을 제공하면 명령 doas -C /etc/doas.conf vim을 실행하지 않고 명령을 실행할 권한이 있는지 여부를 알려줍니다.

용법

사용자는 다음 명령 echo "test"을 사용하여 루트로 명령 을 실행할 수 있습니다 . doas echo "test"

doas를 사용하여 "www"사용자에게 권한을 부여 할 수있는 권한이있는 사용자는 다음 명령 vim /var/www/http/index.html을 사용하여 "www"사용자로 명령 을 실행할 수 있습니다 doas -u www vim index.html .

모범 사례

가능한 경우 거부 대신 허가를 사용하는 것이 좋습니다. 사용자가 특정 명령을 사용하지 못하도록 거부하는 경우 해당 명령의 다른 경로 나 이름 (있는 경우)을 사용하여 벗어날 수 있습니다. 또한 명령의 실행 파일을 홈 디렉토리에 복사 한 다음 해당 실행 파일을 실행하여 권한 시스템을 손상시킬 수 있습니다.

일반적으로 루트 암호를 공유 할 사람이 없기 때문에 su를 사용하는 것보다 doas를 사용하는 것이 좋습니다. 모든 사람이 루트 액세스를 위해 자신의 암호를 사용하는 경우 누군가 변경, 잊어 버리고 모든 사람을 시스템에서 잠글 가능성은 없습니다. 로그는에 보관됩니다 /var/log/secure.

팁과 요령

keepenv를 사용하여 모든 환경 변수를 유지할 수 있습니다. 편집기를 다른 것으로 설정하고 다른 사용자가 될 때 변경하지 않으려는 경우에 유용합니다. 다음은 mynewuser의 예입니다.

permit nopass keepenv mynewuser

때로는 모든 환경 변수를 덮어 쓰면 문제가 발생할 수 있지만 setenv를 사용하면 수행 할 환경을 선택하고 선택할 수 있습니다. 다음은 편집기를 git 및 다른 것들과 함께 사용하려는 것으로 설정하는 예제입니다.

permit nopass setenv { VISUAL EDITOR } mynewuser

setenv를 사용하여 환경 변수를 제거하거나 (제거 할 각 변수 앞에 대시를 두어) 등호를 사용하여 특정 변수로 설정할 수 있습니다. 예를 들어, 환경 변수 VISUAL을 제거하고 EDITOR를 vim으로 설정하려면 다음 구성 행을 사용하십시오.

permit nopass setenv { -VISUAL EDITOR=vim } mynewuser

doas비밀번호를 기억 한 경우 비밀번호를 doas -L잊어 버리도록 할 수 있습니다 .