Inleiding tot doas op OpenBSD

• Achtergrond
• Installatie
• Configuratie
• Gebruik
• Beste praktijken
• Tips en trucs

Achtergrond

Het alternatief voor OpenBSD sudois doas, hoewel het niet op dezelfde manier werkt als sudo en enige configuratie vereist. Het is een afkorting voor "dedicated openbsd application subexecutor". OpenBSD 5.8, uitgebracht in 2015, was de eerste die werd opgenomen doas. Het is gemaakt door Ted Unangst nadat hij niet tevreden was met de complexiteit van sudo en problemen had met de standaard sudo-configuratie.

De doasopdracht is eenvoudig van opzet en bevat geen geavanceerde functies die vereist zijn voor uitgebreide sysadmin-infrastructuren. Voor de meeste mensen is het meer dan genoeg. sudoInstalleer het indien nodig met pkg_add sudoals root.

Installatie

OpenBSD versie 5.8 en later is doasvooraf geïnstalleerd.

Configuratie

Om gebruikers in de wielgroep toegang te geven doas, voegt u het volgende toe aan /etc/doas.conf. U heeft root-toegang nodig om dit bestand te bewerken.

permit :wheel

Dit geeft alle gebruikers in de stuurgroep toestemming om opdrachten uit te voeren als elke gebruiker.

Als u wilt dat gebruikers hun wachtwoord één keer kunnen invoeren en het dan een tijdje niet hoeven in te voeren, gebruikt u de persistoptie. Hier is een voorbeeld dat alleen toestemming geeft aan de wielgroep:

permit persist :wheel

U kunt in plaats daarvan de nopassoptie gebruiken als u wilt dat ze hun wachtwoord nooit hoeven in te voeren:

permit nopass :wheel

Als u wilt dat de gebruiker "mynewuser" beheerdersrechten heeft, kunt u deze ofwel aan de wielgroep toevoegen door usermod -G wheel mynewuserals root uit te voeren of een regel aan uw toevoegen /etc/doas.confzodat het er ongeveer zo uitziet:

permit nopass :wheel
permit nopass mynewuser

In dit voorbeeld wordt ervan uitgegaan dat u uw gebruikers geen wachtwoord hoeft in te voeren tijdens gebruik doas. Als u het zo wilt instellen dat mynewuser alleen opdrachten mag uitvoeren als www-gebruiker, zou de configuratie als volgt zijn:

permit nopass :wheel
permit nopass mynewuser as www

Als je wilt dat mynewuser alleen de "vim" -opdracht met doas kan gebruiken, gebruik dan de volgende configuratie:

permit nopass :wheel
permit nopass mynewuser as www cmd vim

Er zijn andere configuratie-opties, maar de hier behandelde zijn de meest voorkomende. Als je meer wilt lezen, kun je het commando man doas.confgebruiken om de doas.conf (5) manpage te lezen.

Configuratiebestanden testen

Gebruik de doas -C /etc/doas.confopdracht om een ​​configuratiebestand te testen . Als u achteraf een commando opgeeft, doas -C /etc/doas.conf vimzal het u bijvoorbeeld vertellen of u toestemming hebt om een ​​commando uit te voeren of niet zonder te proberen het commando uit te voeren.

Gebruik

Een gebruiker kan de opdracht echo "test"als root uitvoeren met behulp van de opdracht: doas echo "test"

Een gebruiker die gemachtigd is om doas te gebruiken om zichzelf te verheffen tot de gebruiker "www", kan de opdracht uitvoeren vim /var/www/http/index.htmlals de gebruiker "www" met behulp van de opdracht: doas -u www vim index.html Dit is handig voor iemand die de webserver beheert, maar geen volledige superuser-machtigingen heeft.

Beste praktijken

Het wordt ten zeerste aanbevolen om een ​​vergunning te gebruiken in plaats van waar mogelijk te weigeren. Als u een gebruiker weigert een specifieke opdracht te gebruiken, kunnen ze mogelijk wegkomen met een alternatief pad of een andere naam van die opdracht, als deze bestaat. Ze kunnen ook het uitvoerbare bestand van de opdracht naar hun homedirectory kopiëren en vervolgens dat uitvoerbare bestand uitvoeren, waardoor uw machtigingensysteem wordt verslagen.

Over het algemeen is het een beter idee om doas te gebruiken dan om su te gebruiken omdat niemand het root-wachtwoord hoeft te delen. Er is geen kans dat iemand het verandert, het vergeet en iedereen buiten het systeem sluit als iedereen zijn eigen wachtwoord gebruikt voor root-toegang. Logs worden bijgehouden /var/log/secure.

Tips en trucs

U kunt al uw omgevingsvariabelen behouden met keepenv, wat handig is als u uw editor op iets hebt ingesteld en niet wilt dat deze verandert wanneer u een andere gebruiker wordt. Hier is een voorbeeld met mynewuser:

permit nopass keepenv mynewuser

Soms zijn er situaties waarin het overschrijven van elke omgevingsvariabele dingen kan breken, maar met setenv kun je kiezen welke je wilt overdragen. Hier is een voorbeeld dat ervoor zorgt dat je editor ingesteld staat op wat je maar wilt voor gebruik met git en wat andere dingen.

permit nopass setenv { VISUAL EDITOR } mynewuser

Je kunt setenv ook gebruiken om omgevingsvariabelen te verwijderen (door een streepje te plaatsen voor elke variabele die je wilt verwijderen) of om ze in te stellen op specifieke dingen met een gelijkteken. Als u bijvoorbeeld wilt dat het de omgevingsvariabele VISUAL verwijdert en EDITOR instelt op vim, gebruikt u deze configuratieregel:

permit nopass setenv { -VISUAL EDITOR=vim } mynewuser

Als u doasuw wachtwoord bent vergeten, kunt u dit doen doas -Lom het wachtwoord te vergeten.