man sudoers.ldap (5): LDAP を使った sudo の設定

(5)


sudoRole


sudoRole


objectClass


sudoRole


ou=SUDOers


ou=SUDOers


          dn: ou=SUDOers,dc=example,dc=com
          objectClass: top
          objectClass: organizationalUnit
          ou: SUDOers


cn=defaults


sudoOption


Defaults


SSH_AUTH_SOCK


    dn: cn=defaults,ou=SUDOers,dc=example,dc=com
    objectClass: top
    objectClass: sudoRole
    cn: defaults
    description: Default sudoOption's go here
    sudoOption: env_keep+=SSH_AUTH_SOCK


sudoRole


'#'
'%'
'%#'
'+'
'+'

ALL


ALL


'!'

sudoRole


'#'
'%'
'+'

ALL


sudoRunAsUser


sudoRunAs


'#'

ALL


sudoRunAsGroup


yyyymmddHHMMSSZ


sudoRole


sudoNotBefore


sudoNotBefore


yyyymmddHHMMSSZ


sudoRole


sudoNotAfter


sudoNotAfter


sudoRole


sudoOrder


sudoOrder


sudoOrder


sudoOrder


sudoOrder


sudoRole


sudoUser


sudoHost


sudoCommand


    dn: cn=%wheel,ou=SUDOers,dc=example,dc=com
    objectClass: top
    objectClass: sudoRole
    cn: %wheel
    sudoUser: %wheel
    sudoHost: ALL
    sudoCommand: ALL


sudoOrder


    # /etc/sudoers の場合:
    # shell 以外のすべてのコマンドを許可する
    johnny  ALL=(root) ALL,!/bin/sh
    # 次の設定は、ALL が最後にマッチするので、常にすべてのコマンドを
    # 許可することになる
    puddles ALL=(root) !/bin/sh,ALL
    # 上記の johnny に相当する LDAP のエントリ:
    # shell 以外のすべてのコマンドを許可する
    dn: cn=role1,ou=Sudoers,dc=my-domain,dc=com
    objectClass: sudoRole
    objectClass: top
    cn: role1
    sudoUser: johnny
    sudoHost: ALL
    sudoCommand: ALL
    sudoCommand: !/bin/sh
    # 上記の puddles に相当する LDAP のエントリ:
    # ALL が最後に指定されているが、LDAP のコードはよりパラノイア的な
    # 設定になっているため、これもまた role1 と同じように動作する
    # ことに注意してほしい
    dn: cn=role2,ou=Sudoers,dc=my-domain,dc=com
    objectClass: sudoRole
    objectClass: top
    cn: role2
    sudoUser: puddles
    sudoHost: ALL
    sudoCommand: !/bin/sh
    sudoCommand: ALL

    # joe 以外の全員とマッチしないどころか、
    # 誰にもマッチしない
    sudoUser: !joe
    # joe 以外の全員とマッチしないどころか、
    # joe を含む全員にマッチしてしまう
    sudoUser: ALL
    sudoUser: !joe
    # web01 以外のすべてとマッチしないどころか、
    # web01 を含むすべてのホストにマッチしてしまう
    sudoHost: ALL
    sudoHost: !web01


ldap://


ldaps://


ldap://


ldaps://


example.com


ou=SUDOers,dc=example,dc=com


attribute=value


(&(attribute=value)(attribute2=value2))


sudoNotBefore


sudoNotAfter


on


true


yes


start_tls


start_tls


tls_cert /etc/ssl/client_cert.pem


tls_cert /var/ldap/cert7.db


tls_key /etc/ssl/client_key.pem


tls_key /var/ldap/key3.db


ldap.conf


sudoers


    files       /etc/sudoers から sudo の設定を読み込む
    ldap        LDAP から sudo の設定を読み込む


[NOTFOUND=return]


    sudoers: ldap files

    sudoers: ldap

    sudoers: files

    sudoers = ldap, files

    sudoers = ldap

    sudoers = ldap = auth, files


auth


Defaults


    sudoers = files

  # URI か host:port の組み合わせを一つ以上指定する。
  # どちらも指定されていない場合、sudo は localhost と 389 番
  # ポートを使用する。
  #
  #host          ldapserver
  #host          ldapserver1 ldapserver2:390
  #
  # host がポートなしで指定されている場合のポート番号。
  # デフォルトは 389 である。
  #port          389
  #
  # URI の指定は、host と port による指定に優先する。
  uri            ldap://ldapserver
  #uri            ldaps://secureldapserver
  #uri            ldaps://secureldapserver ldap://ldapserver
  #
  #  LDAP サーバに接続しようとしているときの、秒単位の待ち時間。
  bind_timelimit 30
  #
  # LDAP の参照を行っているときの、秒単位の待ち時間。
  timelimit 30
  #
  # 必ず設定すること。さもないと、sudo は LDAP を無視することになる。
  # 複数回指定してもよい。
  sudoers_base   ou=SUDOers,dc=example,dc=com
  #
  # LDAP を参照したとき、sudo 設定のマッチングについて詳細情報を
  # 表示する。
  #sudoers_debug 2
  #
  # sudo 設定中で日時制限のあるエントリのサポートを有効にする。
  #sudoers_timed yes
  #
  # LDAP の操作を行う者の認証情報 (設定する、しないは任意)。
  #binddn        <who to search as>
  #bindpw        <password>
  #rootbinddn    <who to search as, uses /etc/ldap.secret for bindpw>
  #
  # LDAP プロトコルのバージョン。デフォルトは 3 である。
  #ldap_version 3
  #
  # LDAP 接続を暗号化したいなら、on にする。
  # 通例、ポートを 636 (ldaps) にすることも必要。
  #ssl on
  #
  # ポート 389 を使用し、バインド操作のために認証情報が
  # 送信される前に、暗号化セッションに切り替えたい場合に設定する。
  # これをサポートしているのは、OpenLDAP のような start_tls 拡張に
  # 対応している LDAP サーバだけである。
  #ssl start_tls
  #
  # さらに以下の TLS 関連オプションを使うことで SSL/TLS 接続を
  # 微調整できる。
  #
  #tls_checkpeer yes # サーバの SSL 証明書の正当性をチェックする。
  #tls_checkpeer no  # サーバの SSL 証明書の正当性をチェックしない。
  #
  # tls_checkpeer を有効にするときは、 tls_cacertfile か
  # tls_cacertdir のどちらかを指定すること。tls_cacertfile や
  # tls_cacertdir は OpenLDAP の使用時のみ使える。
  #
  #tls_cacertfile /etc/certs/trusted_signers.pem
  #tls_cacertdir  /etc/certs
  #
  # /dev/random がないシステムでは、下記の設定を PRNGD、あるいは
  # EGD.pl と一緒に使用すれば、暗号セッション用の鍵を生成するための
  # 乱数プールの種を供給できる。このオプションが使えるのは、
  # OpenLDAP を使用しているときだけである。
  #
  #tls_randfile /etc/egd-pool
  #
  # 使用する暗号を限定することができる。どの暗号が使えるかに
  # ついては、SSL の文書を参照してほしい。このオプションが
  # 使えるのは、OpenLDAP を使用しているときだけである。
  #
  #tls_ciphers <cipher-list>
  #
  # sudo は LDAP サーバと交信するときに、クライアントの証明書を
  # 提示することができる。
  # 注意:
  #   * 両方の行を同時に有効にすること。
  #   * キーファイルをパスワードでプロテクトしてはいけない。
  #   * キーファイルが読めるのは root だけにするのを忘れずに。
  #
  # OpenLDAP の場合:
  #tls_cert /etc/certs/client_cert.pem
  #tls_key  /etc/certs/client_key.pem
  #
  # SunONE や iPlanet LDAP の場合:
  # こちらの場合は、tls_cert や tls_key で指定するのは、
  # 証明書やキーファイルの入っているディレクトリでもよく、
  # ファイルそのもののパスでもよい。
  # 前者の場合、ディレクトリ中のファイルは、既定の名前 (たとえば
  # cert8.db と key4.db) でなければならない。もっとも、ファイルの
  # パスを指定した場合は、バージョン 5.0 の LDAP SDK にはバグが
  # あるので、ファイル名によってはうまく動作しないことがある。
  # この理由から、tls_cert や tls_key には、ファイル名ではなく、
  # ディレクトリを指定する方をお薦めする。
  #
  # tls_cert で指定した証明書のデータベースには、認証局の証明書と
  # クライアントの証明書が、どちらか一方だけ入っていてもよく、
  # 両方入っていてもよい。クライアントの証明書が入っている場合は、
  # tls_key も指定するべきである。
  # 後方互換のため、tls_cert のかわりに sslpath を使うこともできる。
  #tls_cert /var/ldap
  #tls_key /var/ldap
  #
  # LDAP に SASL 認証を使用する場合 (OpenSSL)
  # use_sasl yes
  # sasl_auth_id <SASL user name>
  # rootuse_sasl yes
  # rootsasl_auth_id <SASL user name for root access>
  # sasl_secprops none
  # krb5_ccname /etc/.ldapcache


include


slapd.conf


 attributetype ( 1.3.6.1.4.1.15953.9.1.1
    NAME 'sudoUser'
    DESC 'User(s) who may  run sudo'
    EQUALITY caseExactIA5Match
    SUBSTR caseExactIA5SubstringsMatch
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
 attributetype ( 1.3.6.1.4.1.15953.9.1.2
    NAME 'sudoHost'
    DESC 'Host(s) who may run sudo'
    EQUALITY caseExactIA5Match
    SUBSTR caseExactIA5SubstringsMatch
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
 attributetype ( 1.3.6.1.4.1.15953.9.1.3
    NAME 'sudoCommand'
    DESC 'Command(s) to be executed by sudo'
    EQUALITY caseExactIA5Match
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
 attributetype ( 1.3.6.1.4.1.15953.9.1.4
    NAME 'sudoRunAs'
    DESC 'User(s) impersonated by sudo'
    EQUALITY caseExactIA5Match
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
 attributetype ( 1.3.6.1.4.1.15953.9.1.5
    NAME 'sudoOption'
    DESC 'Options(s) followed by sudo'
    EQUALITY caseExactIA5Match
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
 attributetype ( 1.3.6.1.4.1.15953.9.1.6
    NAME 'sudoRunAsUser'
    DESC 'User(s) impersonated by sudo'
    EQUALITY caseExactIA5Match
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
 attributetype ( 1.3.6.1.4.1.15953.9.1.7
    NAME 'sudoRunAsGroup'
    DESC 'Group(s) impersonated by sudo'
    EQUALITY caseExactIA5Match
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
 attributetype ( 1.3.6.1.4.1.15953.9.1.8
    NAME 'sudoNotBefore'
    DESC 'Start of time interval for which the entry is valid'
    EQUALITY generalizedTimeMatch
    ORDERING generalizedTimeOrderingMatch
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.24 )
 attributetype ( 1.3.6.1.4.1.15953.9.1.9
    NAME 'sudoNotAfter'
    DESC 'End of time interval for which the entry is valid'
    EQUALITY generalizedTimeMatch
    ORDERING generalizedTimeOrderingMatch
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.24 )
 attributeTypes ( 1.3.6.1.4.1.15953.9.1.10
     NAME 'sudoOrder'
     DESC 'an integer to order the sudoRole entries'
     EQUALITY integerMatch
     ORDERING integerOrderingMatch
     SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 )
 objectclass ( 1.3.6.1.4.1.15953.9.2.1 NAME 'sudoRole' SUP top STRUCTURAL
    DESC 'Sudoer Entries'
    MUST ( cn )
    MAY ( sudoUser $ sudoHost $ sudoCommand $ sudoRunAs $ sudoRunAsUser $
          sudoRunAsGroup $ sudoOption $ sudoNotBefore $ sudoNotAfter $
          sudoOrder $ description )
    )

説明

LDAP の SUDOers コンテナ

LDAP を使って sudo の設定を検索するときの詳細

LDAP を使う場合と使わない場合の sudo 設定の相違点

sudo 用のスキーマ

ldap.conf の設定

nsswitch.conf の設定

netsvc.conf の設定

ファイル

用例

ldap.conf の一例

OpenLDAP 用の Sudo のスキーマ

警告

バグ

サポート

免責

翻訳

参照

最後に検索