sudoers file

[tech_soul8]

Ovako zanimam me kako mogu korisniku s ogranicenim pravima dat pravo da npr.brise korisnike?
Ja sam to pokusao rijesit na slj.nacin:
1.Otovrim sudoers file sa naredbom visudo
2.Dodam zeljenog korisnika i naredbu koju mu zelim omogucit
npr, "korisnik" ALL = /usr/sbin/userdel
3.Spremim postavke i izadjem van
Kada pokusam izvrsit naredbu dobijem poruku "userdel: cannot lock /etc/passwd; try again later".
Ne razumijem zasto mi javlja tu gresku ako sam dao korisniku pravo na koristenje "userdel" komande,nego svaki put moram koristit sudo.
Hvala!

[Marijek]

Zato jer se komanda izvršava pod korisnikom, a ne pod rootom. Jedno rješenje bi bilo promijeniti ovlasti /etc/passwd fajla, no to ne preporučam.
Drugi način:
Moraš postaviti SUID bit da bi neroot korisnik mogao izvršavati fajl. No onda je to riskantno jer kad neroot korisnik izvršava program, program poprima root ovlasti i to može predstavljati ozbiljan rizik.

Ako želiš podesiti SUID sticky bit za grupu kojoj pripada userdel:

Kod: Označi sve

chmod g+s /usr/sbin/userdel

Ili da baš svi mogu brisati korisnike(opasno je ovo raditi, ne odgovaram za eventualnu štetu nastalu korištenjem komandi ):

Kod: Označi sve

chmod o+s /usr/sbin/userdel

[tech_soul8]

hehe bez brige, nece biti nikakve stete
ma da jasno mi je to,ali nije mi jasno zasto ovo ne radi ovako, jer mislim da bi moralo sta ne?
Sudoers file mi sluzi medjuostalim za podesavanje tko sto smije radit na racunalu npr.izvrsavat koje komande itd... zato ako novom korisniku dam ovlasti da koristi "userdel" naredbu nije mi jasno zasto bih morao stavaljt suid bit (btw ni ja sam sebi ne preporucam to ), a kamoli mjenjat prava pristupa "passwd" fileu, na kraju krajeva passwd-fileu jedino tko bi trebao imat potuni pristup je root account tako da to mi nema smisla, mora da je caka u necem drugom, samo ne razumijem u cemu

[Marijek]

Zato jer postoji razlika između 'koji korisnik izvršava program' i 'pod kojim korisnikom se program izvršava'.

userdel očito koristi passwd fajl, a za to je potrebno da program poprimi ovlasti root korisnika kako bi mogao manipulirati njime.

Jer ti ovako samo dopustiš korisniku da izvršava program, bez da program pritom poprimi root obilježja...

[tech_soul8]

hm....ok sve je to meni jasno, ali mi nece radit ni na ovaj nacin "korisnik" ALL = (ALL) /usr/sbin/userdel

[tech_soul8]

znaci kao sto mozes vidjet u zagrade sam stavio da se pod bilo kojim accountom (ALL) naredba moze izvrsavat