SUDOERS.LDAP

sudoers


dn: ou=SUDOers,dc=example,dc=com
objectClass: top
objectClass: organizationalUnit
ou: SUDOers


dn: cn=defaults,ou=SUDOers,dc=example,dc=com
objectClass: top
objectClass: sudoRole
cn: defaults
description: Default sudoOption's go here
sudoOption: env_keep+=SSH_AUTH_SOCK


sha224:0GomF8mNN3wlDt1HD9XldjJ3SNgpFdbjO1+NsQ /bin/ls


dn: cn=%wheel,ou=SUDOers,dc=example,dc=com
objectClass: top
objectClass: sudoRole
cn: %wheel
sudoUser: %wheel
sudoHost: ALL
sudoCommand: ALL


# /etc/sudoers の場合:
# shell 以外のすべてのコマンドを許可する
johnny  ALL=(root) ALL,!/bin/sh
# 次の設定は、ALL が最後にマッチするので、常にすべての
# コマンドを許可することになる
puddles ALL=(root) !/bin/sh,ALL

# 上記の johnny に相当する LDAP のエントリ:
# shell 以外のすべてのコマンドを許可する
dn: cn=role1,ou=Sudoers,dc=my-domain,dc=com
objectClass: sudoRole
objectClass: top
cn: role1
sudoUser: johnny
sudoHost: ALL
sudoCommand: ALL
sudoCommand: !/bin/sh

# 上記の puddles に相当する LDAP のエントリ:
# ALL が最後に指定されているが、LDAP のコードでは、
# よりパラノイア的な方を、指定された設定と見なすようになって
# いるため、これもまた role1 と同じように動作することに
# 注意していただきたい
dn: cn=role2,ou=Sudoers,dc=my-domain,dc=com
objectClass: sudoRole
objectClass: top
cn: role2
sudoUser: puddles
sudoHost: ALL
sudoCommand: !/bin/sh
sudoCommand: ALL


# joe 以外の全員とマッチしないどころか、
# 誰にもマッチしない
sudoUser: !joe

# joe 以外の全員とマッチしないどころか、
# joe を含む全員にマッチしてしまう
sudoUser: ALL
sudoUser: !joe

# web01 以外のすべてとマッチしないどころか、
# web01 を含むすべてのホストにマッチしてしまう
sudoHost: ALL
sudoHost: !web01


BINDPW base64:dGVzdA==


attributetype ( 1.3.6.1.1.1.1.14 NAME 'nisNetgroupTriple'
    DESC 'Netgroup triple'
    EQUALITY caseIgnoreIA5Match
    SUBSTR caseIgnoreIA5SubstringsMatch
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )


TLS_KEYPW base64:dGVzdA==


sudoers: ldap files


sudoers: ldap


sudoers: files


sudoers = ldap, files


sudoers = ldap


sudoers = ldap = auth, files


sudoers = files


# URI または host:port の組み合わせを一つ以上指定する。
# どちらも指定されていない場合、sudo はデフォルトの localhost と
# 389 番ポートを使用する。
#
#host          ldapserver
#host          ldapserver1 ldapserver2:390
#
# host がポートなしで指定されている場合のポート番号。
# デフォルトは 389 である。
#port          389
#
# URI による指定は、host と port による指定に優先する。
uri            ldap://ldapserver
#uri            ldaps://secureldapserver
#uri            ldaps://secureldapserver ldap://ldapserver
#
# LDAP サーバに接続しようとしているときの、秒単位の待ち時間。
bind_timelimit 30
#
# LDAP に問い合わせを行っているときの、秒単位の待ち時間。
timelimit 30
#
# 必ず設定すること。さもないと、sudo は LDAP を無視することになる。
# 複数回指定してもよい。
sudoers_base   ou=SUDOers,dc=example,dc=com
#
# LDAP で sudoers セキュリティポリシー設定を問い合わせる際の
# マッチングについて詳細情報を表示する。
#sudoers_debug 2
#
# sudoers セキュリティポリシー設定中で日時制限のあるエントリの
# サポートを有効にする。
#sudoers_timed yes
#
# LDAP の操作を行う者の認証情報 (設定する、しないは任意)。
#binddn        <who to search as>
#bindpw        <password>
#rootbinddn    <who to search as, uses /etc/ldap.secret for bindpw>
#
# LDAP プロトコルのバージョン。デフォルトは 3 である。
#ldap_version 3
#
# LDAP 接続を暗号化したい場合に設定する。
# 通例、ポートを 636 (ldaps) にすることも必要。
#ssl on
#
# ポート 389 を使用し、バインド操作のために認証情報が
# 送信される直前に、暗号化セッションに切り替えたい場合に設定する。
# これをサポートしているのは、OpenLDAP のような start_tls 拡張に
# 対応している LDAP サーバだけである。
#ssl start_tls
#
# さらに以下の TLS 関連オプションを使うことで SSL/TLS 接続の
# 細かい調整ができる。
#
#tls_checkpeer yes # サーバの SSL 証明書の正当性をチェックする。
#tls_checkpeer no  # サーバの SSL 証明書の正当性をチェックしない。
#
# tls_checkpeer を有効にするときは、 tls_cacertfile か
# tls_cacertdir のどちらかを指定すること。tls_cacertfile や
# tls_cacertdir は OpenLDAP の使用時のみ使える。
#
#tls_cacertfile /etc/certs/trusted_signers.pem
#tls_cacertdir  /etc/certs
#
# /dev/random がないシステムでは、下記の設定を PRNGD、あるいは
# EGD.pl と一緒に使用すれば、暗号セッション用の鍵を生成するための
# 乱数プールの種を供給できる。このオプションが使えるのは、
# OpenLDAP を使用しているときだけである。
#
#tls_randfile /etc/egd-pool
#
# 使用する暗号を限定することができる。どの暗号が使えるかに
# ついては、SSL の文書を参照すること。このオプションが
# 使えるのは、OpenLDAP を使用しているときだけである。
#
#tls_ciphers <cipher-list>
#
# sudo は LDAP サーバと交信するときに、クライアントの証明書を
# 提示することができる。
# 注意:
#   * 両方の行を同時に有効にすること。
#   * キーファイルをパスワードでプロテクトしてはいけない。
#   * キーファイルが読めるのは root だけにするのを忘れずに。
#
# OpenLDAP の場合:
#tls_cert /etc/certs/client_cert.pem
#tls_key  /etc/certs/client_key.pem
#
# SunONE や iPlanet LDAP (訳注: Netscape 由来) の場合:
# こちらの場合は、tls_cert や tls_key で指定するのは、証明書や
# キーファイルの入っているディレクトリでもよく、ファイルそのものの
# パスでもよい。前者の場合、ディレクトリ中のファイルは、所定の名前
# (たとえばcert8.db と key4.db) でなければならない。もっとも、
# ファイルのパスを指定した場合は、バージョン 5.0 の LDAP SDK には
# バグがあるので、ファイル名によってはうまく動作しないことがある。
# この理由から、tls_cert や tls_key には、ファイル名ではなく、
# ディレクトリを指定する方をお薦めする。
#
# tls_cert で指定した証明書のデータベースには、認証局の証明書と
# クライアントの証明書が、どちらか一方だけ入っていてもよく、
# 両方入っていてもよい。クライアントの証明書が入っている場合は、
# tls_key も指定するべきである。
# 後方互換のため、tls_cert のかわりに sslpath を使うこともできる。
#tls_cert /var/ldap
#tls_key /var/ldap
#
# LDAP に SASL 認証を使用する場合 (OpenSSL)
# use_sasl yes
# sasl_auth_id <SASL user name>
# rootuse_sasl yes
# rootsasl_auth_id <SASL user name for root access>
# sasl_secprops none
# krb5_ccname /etc/.ldapcache


attributetype ( 1.3.6.1.4.1.15953.9.1.1
   NAME 'sudoUser'
   DESC 'User(s) who may  run sudo'
   EQUALITY caseExactIA5Match
   SUBSTR caseExactIA5SubstringsMatch
   SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 1.3.6.1.4.1.15953.9.1.2
   NAME 'sudoHost'
   DESC 'Host(s) who may run sudo'
   EQUALITY caseExactIA5Match
   SUBSTR caseExactIA5SubstringsMatch
   SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 1.3.6.1.4.1.15953.9.1.3
   NAME 'sudoCommand'
   DESC 'Command(s) to be executed by sudo'
   EQUALITY caseExactIA5Match
   SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 1.3.6.1.4.1.15953.9.1.4
   NAME 'sudoRunAs'
   DESC 'User(s) impersonated by sudo'
   EQUALITY caseExactIA5Match
   SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 1.3.6.1.4.1.15953.9.1.5
   NAME 'sudoOption'
   DESC 'Options(s) followed by sudo'
   EQUALITY caseExactIA5Match
   SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 1.3.6.1.4.1.15953.9.1.6
   NAME 'sudoRunAsUser'
   DESC 'User(s) impersonated by sudo'
   EQUALITY caseExactIA5Match
   SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 1.3.6.1.4.1.15953.9.1.7
   NAME 'sudoRunAsGroup'
   DESC 'Group(s) impersonated by sudo'
   EQUALITY caseExactIA5Match
   SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 1.3.6.1.4.1.15953.9.1.8
   NAME 'sudoNotBefore'
   DESC 'Start of time interval for which the entry is valid'
   EQUALITY generalizedTimeMatch
   ORDERING generalizedTimeOrderingMatch
   SYNTAX 1.3.6.1.4.1.1466.115.121.1.24 )

attributetype ( 1.3.6.1.4.1.15953.9.1.9
   NAME 'sudoNotAfter'
   DESC 'End of time interval for which the entry is valid'
   EQUALITY generalizedTimeMatch
   ORDERING generalizedTimeOrderingMatch
   SYNTAX 1.3.6.1.4.1.1466.115.121.1.24 )

attributeTypes ( 1.3.6.1.4.1.15953.9.1.10
    NAME 'sudoOrder'
    DESC 'an integer to order the sudoRole entries'
    EQUALITY integerMatch
    ORDERING integerOrderingMatch
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 )

objectclass ( 1.3.6.1.4.1.15953.9.2.1 NAME 'sudoRole' SUP top STRUCTURAL
   DESC 'Sudoer Entries'
   MUST ( cn )
   MAY ( sudoUser $ sudoHost $ sudoCommand $ sudoRunAs $ sudoRunAsUser $
         sudoRunAsGroup $ sudoOption $ sudoNotBefore $ sudoNotAfter $
         sudoOrder $ description )
   )

SUDOERS.LDAP

名前

説明

LDAP の SUDOers コンテナ

LDAP を使って sudoers セキュリティポリシーの設定を照合するときの詳細

LDAP を使う場合と使わない場合の sudoers セキュリティポリシー設定の相違点

sudo 用のスキーマ

ldap.conf の設定

nsswitch.conf の設定

netsvc.conf の設定

sssd との統合

ファイル

用例

ldap.conf の一例

OpenLDAP 用の sudo のスキーマ

関連項目

作者

警告

バグ

サポート

免責

Index