Introdução às doas no OpenBSD

• fundo
• Instalação
• Configuração
• Uso
• Melhores Práticas
• Dicas e truques

fundo

A alternativa do OpenBSD sudoé doas, embora não funcione da mesma maneira que o sudo e exija alguma configuração. É um acrônimo para "subexecutor de aplicativo openbsd dedicado". O OpenBSD 5.8, lançado em 2015, foi o primeiro a incluir doas. Foi criado por Ted Unangst depois que ele ficou insatisfeito com a complexidade do sudo e teve problemas com a configuração padrão do sudo.

O doascomando é simples por design e não contém recursos avançados necessários para infra-estruturas de sysadmin elaboradas. Para a maioria das pessoas, é mais do que suficiente. Se você precisar sudo, instale-o pkg_add sudocomo root.

Instalação

O OpenBSD versão 5.8 e posterior foram doaspré - instalados.

Configuração

Para dar acesso aos usuários no grupo de rodadoas , adicione o seguinte a /etc/doas.conf. Você precisará de acesso root para editar este arquivo.

permit :wheel

Isso dará a todos os usuários do grupo roda permissão para executar comandos como qualquer usuário.

Se você deseja que os usuários possam digitar sua senha uma vez, não precisa digitá-la por um tempo, use a persistopção Aqui está um exemplo que concede permissões apenas ao grupo de roda:

permit persist :wheel

Em vez disso, você pode usar a nopassopção se desejar que eles nunca precisem digitar sua senha:

permit nopass :wheel

Se você deseja que o usuário "mynewuser" tenha direitos de administrador, adicione-os ao grupo de roda executando usermod -G wheel mynewusercomo root ou adicione uma linha ao seu, /etc/doas.confpara que se pareça com o seguinte:

permit nopass :wheel
permit nopass mynewuser

Este exemplo pressupõe que você não precisa que seus usuários insiram uma senha ao usar doas. Se você deseja configurá-lo para que mynewuser só tenha permissão para executar comandos como o usuário www, a configuração será a seguinte:

permit nopass :wheel
permit nopass mynewuser as www

Se você deseja que o mynewuser possa usar apenas o comando "vim" com doas, use a seguinte configuração:

permit nopass :wheel
permit nopass mynewuser as www cmd vim

Existem outras opções de configuração, mas as abordadas aqui são as mais comuns. Se você quiser ler mais, pode usar o comando man doas.confpara ler a página de manual doas.conf (5).

Testando arquivos de configuração

Para testar um arquivo de configuração, use o doas -C /etc/doas.confcomando Se você fornecer um comando posteriormente, por exemplo doas -C /etc/doas.conf vim, ele informará se você tem permissão para executar um comando ou não, sem tentar executá-lo.

Uso

Um usuário pode executar o comando echo "test"como root usando o comando: doas echo "test"

Um usuário que possui permissões para usar doas para se elevar ao usuário "www" pode executar o comando vim /var/www/http/index.htmlcomo o usuário "www" usando o comando: doas -u www vim index.html Isso é útil para alguém que gerencia o servidor da Web, mas não possui permissões completas de superusuário.

Melhores Práticas

É altamente recomendável usar permissão em vez de negar sempre que possível. Se você negar que um usuário use um comando específico, ele poderá usar um caminho ou nome alternativo para esse comando, se ele existir. Eles também podem copiar o executável do comando para o diretório inicial e, em seguida, executá-lo, derrotando o sistema de permissões.

De um modo geral, é melhor usar doas do que su, porque ninguém precisa compartilhar a senha root. Não há chance de alguém alterá-lo, esquecê-lo e bloquear todos fora do sistema se todos usarem sua própria senha para acesso root. Os logs são mantidos /var/log/secure.

Dicas e truques

Você pode manter todas as suas variáveis ​​de ambiente com keepenv, o que é útil se você tiver seu editor definido como algo e não quiser que ele mude quando se tornar outro usuário. Aqui está um exemplo com mynewuser:

permit nopass keepenv mynewuser

Às vezes, há situações em que a substituição de todas as variáveis ​​de ambiente pode quebrar as coisas, mas com o setenv, você pode escolher quais devem ser transportadas. Aqui está um exemplo que manterá seu editor definido para o que você deseja usar com o git e outras coisas.

permit nopass setenv { VISUAL EDITOR } mynewuser

Você também pode usar o setenv para remover variáveis ​​de ambiente (colocando um traço antes de cada uma que você deseja remover) ou configurá-las para itens específicos com um sinal de igual. Por exemplo, se você quisesse remover a variável de ambiente VISUAL e configurar EDITOR para vim, usaria esta linha de configuração:

permit nopass setenv { -VISUAL EDITOR=vim } mynewuser

Se a doassua senha foi lembrada, você pode fazer doas -Lisso para esquecer a senha.