staging.inyokaproject.org

Hallo Leute,

all unsere Systeme sind am Univention ActiveDirectory gekoppelt. Sämtliche Sudoers und Adminrechte werden über SSS/LDAP verteilt. Dies funktioniert in 18.04 gleich gut wie auf 20.04. Alles reinster Ubuntu Standard. Seit 20.04 wird aber die lokale Sudoers Konfiguration völlig ignoriert. Das ist blöd, da wir Software einsetzen die auch noch ganze spezielle lokale Konfiguration verlangt. Auch ist es doch ab und zu gut wenn man auch in der lokalen Sudoers oder suduers.d zum Testen etwas eintragen kann.

Beispiel der Sudoers File hier:

Defaults        env_reset
Defaults        mail_badpass
Defaults        secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/snap/bin"

# Host alias specification

# User alias specification

# Cmnd alias specification

# User privilege specification
root    ALL=(ALL:ALL) ALL

# Members of the admin group may gain root privileges
%admin ALL=(ALL) ALL

# Allow members of group sudo to execute any command
%sudo   ALL=(ALL:ALL) ALL
# See sudoers(5) for more information on "#include" directives:

#includedir /etc/sudoers.d
tuxi ALL= NOPASSWD: /bin/efibootmgr
tuxi ALL=(ALL) NOPASSWD: /sbin/ip

Oder ein File:

cat /etc/sudoers.d/openfortigui
%tuxigroup  ALL=NOPASSWD:SETENV: /usr/bin/openfortigui --start-vpn *

Habe ich nun Sudoers over LDAP in der nsswitch.conf aktiv:

sudoers:        files sss

Passiert beim Ausführen eines Befehl nur das im Log:

Jul 25 01:19:55 darkbox sudo[281473]: pam_unix(sudo:auth): conversation failed
Jul 25 01:19:55 darkbox sudo[281473]: pam_unix(sudo:auth): auth could not identify password for [tuxi]
Jul 25 01:19:55 darkbox sudo[281473]: pam_sss(sudo:auth): authentication failure; logname=tuxi uid=2009 euid=0 tty=/dev/pts/1 ruser=tuxi rhost= user=tuxi
Jul 25 01:19:55 darkbox sudo[281473]: pam_sss(sudo:auth): received for user tuxi: 7 (Legitimierungsfehler)

Lösche ich in der nsswitch.conf das "sss" in dieser obigen Zeile weg, funktioniert die lokale sudoers sofort wieder, aber dafür natürlich die vom LDAP nicht mehr.

Und so sieht die Sudoconfig für eine Adminusergruppe z.B. aus wenn LDAP aktiv ist:

Passende Defaults-Einträge für tuxi auf darkbox:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin

Der Benutzer tuxi darf die folgenden Befehle auf darkbox ausführen:
    (ALL : ALL) ALL
    (root) SETENV: NOPASSWD: /usr/bin/openfortigui --start-vpn *
    (root) NOPASSWD: /bin/efibootmgr
    (ALL) NOPASSWD: /sbin/ip
    (root) ALL
    (root) NOPASSWD: /usr/bin/openfortigui, /usr/bin/nmap, /bin/umount, /opt/puppetlabs/puppet/bin/puppet, /sbin/fsck, /bin/mount, /usr/bin/updatedb, /sbin/reboot
    (root) NOPASSWD: /usr/bin/openfortigui, /usr/bin/nmap, /opt/puppetlabs/puppet/bin/puppet, /usr/bin/mactelnet, /usr/bin/muon, /sbin/fsck, /usr/sbin/synaptic,
        /usr/bin/pkcon, /usr/bin/apt, /usr/bin/synaptic-pkexec, /usr/bin/updatedb, /usr/bin/macping, /sbin/reboot, /bin/umount, /bin/mount, /usr/sbin/apt, /usr/bin/ssh

Und das wäre die Config bei nur lokaler sudoers:

Passende Defaults-Einträge für tuxi auf darkbox:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin

Der Benutzer tuxi darf die folgenden Befehle auf darkbox ausführen:
    (ALL : ALL) ALL
    (root) SETENV: NOPASSWD: /usr/bin/openfortigui --start-vpn *
    (root) NOPASSWD: /bin/efibootmgr
    (ALL) NOPASSWD: /sbin/ip

Vielleicht kann mir da ja jemand weiter helfen.

Vielen Dank und glg Dark Wolf