在 Sudoers 文件中添加 Active Directory 组的 Linux 命令

Question

在sudoers文件中添加 Active Directory (AD) 组以限制对组成员的本地管理员访问的 Linux (Red Hat) 命令是什么？

例如，我有一个 AD 组linux-admin，我想添加这一行

%test.com\linux-admin ALL=(ALL) ALL

Answer 1

注意：弄乱sudoers文件有一定的风险。在开始之前，需要考虑的事情包括：

• 系统备份

• 物理 root shell（在正确配置的 ssh 环境中，应该禁止 root 通过 ssh 登录系统）

• 熟悉启动 live cd 以“修复”损坏的任何东西

假设您已经进行了 AD 集成，

团体

将列出用户拥有的所有组，这很重要，以便您获得组名称的正确大小写。

把它添加到/etc/sudoers文件中。我使用nano并在文件底部添加这些行之一。

%domain\groupname ALL=(ALL) ALL

或者

%groupname ALL=(ALL) ALL

可能需要也可能不需要域。这是设置 AD 身份验证集成时其他决策的函数。如果 AD 身份验证的用户转储到 中/home/<DOMAIN>/<username>，那么您很可能需要与sudoers文件中的DOMAIN 完全相同的名称。

要从脚本自动执行此操作，请调用

echo "%groupname ALL=(ALL)ALL" >> /etc/sudoers