在没有 sudo 的情况下向非 root 用户授予一组命令的访问权限

Question

我想为我机器上的非 root 用户授予非 sudo 访问权限，有一个用户 dns-manager，他的唯一作用是运行所有 BIND 命令（rndc、dnssec-keygen）等。

现在每次他必须运行命令时，他都会打字，

sudo rndc reload

有没有办法摆脱这个 sudo，但只能在一组特定的命令上（并且仅适用于 dns-manager）？

Answer 1

如果我正确理解您的评论，这里的问题是该命令将通过连接发出，而该连接无法输入 sudo 默认请求的密码。此外，在许多操作系统发行版中，sudo 将默认要求 TTY - 该程序可能没有。

但是，sudo 能够拥有非常细粒度的权限结构，从而允许一个或多个用户在没有密码和 TTY 的情况下发出一个特定命令。下面，我将展示三种方法来根据您的需要进行配置。无论您选择哪一个，用户现在都可以发出命令sudo rndc reload而无需输入密码。

（另外，这可能是不必要的，但是...请记住在编辑之前制作您的 sudoers 文件的备份副本，以在您需要恢复备份时保持一个 shell 打开，以防您需要恢复备份，并编辑它使用visudo而不是sudo vi /etc/sudoers。希望这些预防措施是不必要的，但是......最好拥有它们而不需要它们而不是相反！）

1. 如果您不想为任何请求要求 TTY

摆脱 TTY 要求（如果存在）的最简单方法是确保以Defaultsin开头的行/etc/sudoers不包含单词requiretty- 相反，它应该包含!requiretty. 但是，如果您这样做，则意味着没有sudo 命令需要 tty！

您还需要添加该行

rndcuser ALL = (root) NOPASSWD: /path/to/rndc reload, /path/to/dnssec-keygen, /path/to/other/program

2. 如果你想为除这个用户之外的所有用户都需要一个 TTY

这可以通过为该用户设置默认值来完成，如下所示：

Defaults:rndcuser        !requiretty
rndcuser ALL = (root) NOPASSWD: /path/to/rndc reload, /path/to/dnssec-keygen, /path/to/other/program

3.如果你想为除了这个用户的这个命令之外的所有命令都需要一个TTY

由于 sudoers 文件的语法，这有点复杂。您需要为该命令创建一个命令别名，然后为该命令别名设置默认值，如下所示：

Cmnd_Alias RNDC_CMD = /path/to/rndc reload, /path/to/dnssec-keygen, /path/to/other/program
Defaults!RNDC_CMD !requiretty
rndcuser ALL = (root) NOPASSWD: RNDC_CMD