Autoriser l'utilisateur1 à «su - utilisateur2» sans mot de passe

Je dois autoriser l'utilisateur martinà changer d'utilisateur martin-testsans mot de passe

su - martin-test

Je pense que cela peut être configuré dans /etc/pam.d/su. Il y a déjà quelques lignes dans ce fichier qui peuvent être décommentées. Cependant, je n'aime pas l'idée d'ajouter un utilisateur martinà un groupe wheel. Je ne veux pas donner martinplus de privilèges que de pouvoir changer martin-test. Je ne veux pas non plus utiliser sudo.

Quelle serait la meilleure façon de le faire, tout en limitant les privilèges d’utilisateur martin?

Ajoutez les lignes suivantes juste en dessous de la pam_rootok.soligne dans votre /etc/pam.d/su:

auth  [success=ignore default=1] pam_succeed_if.so user = martin-test
auth  sufficient                 pam_succeed_if.so use_uid user = martin

Ces lignes effectuent des contrôles à l'aide du pam_succeed_if.somodule. Voir aussi la syntaxe du fichier de configuration Linux-PAM pour en savoir plus sur les authlignes.

• La première ligne vérifie si l' utilisateur cible est martin-test. Si c'est le cas, rien ne se passe ( success=ignore) et nous continuons sur la ligne suivante pour vérifier l' utilisateur actuel . Si ce n'est pas le cas, la ligne suivante sera ignorée ( default=1) et nous continuerons sur les lignes suivantes avec les étapes d'authentification habituelles.
• La deuxième ligne vérifie si l'utilisateur actuel est martin. Si tel est le cas, le système considère que le processus d'authentification a abouti et renvoie ( sufficient). Sinon, rien ne se passe et nous continuons sur les lignes suivantes avec les étapes d’authentification habituelles.

Vous pouvez également limiter suà un groupe, le groupe allowedpeoplepeut ici susans mot de passe:

auth sufficient pam_succeed_if.so use_uid user ingroup allowedpeople

Si vous ne souhaitez pas modifier les groupes ou les utiliser sudo, utilisez un module pam appelé pam_execpour exécuter des scripts externes dans une étape pam.

Ajouter une ligne dans votre /etc/pam.d/suaprès la pam_rootok.soligne:

auth       sufficient pam_exec.so quiet /path/to/script

/path/to/script a les permissions 755 (rwxr-xr-x) et le contenu suivant:

#!/bin/bash
if [ "$PAM_TYPE" == "auth" ] && \
[ "$PAM_USER" == "martin-test" ] && \
[ "$PAM_RUSER" == "martin" ]; then
  exit 0
else
  exit 1
fi

Donc, ce script existe avec succès si su:

• est appelé dans le contexte de l'authentification,
• l'appelant est martinet
• l'utilisateur à authentifier est martin-test.

Voir:

martin@host:~$ su - martin-test
martin-test@host:~$ exit
martin@host:~$ su - otheruser
Password: ****
otheruser@host:~$ 

Si vous n'avez pas accès au compte root, mais avez le mot de passe de l'utilisateur que vous souhaitez utiliser pour exécuter une commande, vous pouvez procéder comme suit.

• Cela vous demandera le mot de passe du toto: su - toto -c whoami
• Ce ne sera pas: ssh toto @ localhost whoami

Il suffit d’installer votre clé publique dans la catégorie allowed_keys of toto

Ma solution simple est:

sudo login -f martin-test

Si vous voulez éviter le sudo à tout prix, je pense qu'il devrait être possible de le mettre dans un script:

1. appartenant à root et avec les privilèges root (en utilisant le drapeau setuid )
2. exécutable par tout le monde, même sans sudo.

Cependant, je ne peux pas comprendre le chown rootet chmod +s ToTest.shbits, pour que cela fonctionne réellement:

#!/usr/bin/env bash
echo howdy, I am $(whoami)
sudo login -f martin-test

Je cours toujours en tant qu'utilisateur normal, comme le dit l'écho. Et il faut toujours un mot de passe sudo. Si cela fonctionnait en tant que root, on pourrait supprimer sudola dernière ligne ...