☰

パッケージがsudoers.dにファイルを置くのは正常ですか？

tag-icon • tag-icon permissions
パッケージがsudoers.dにファイルを置くのは正常ですか？

存在する/etc/sudoers.d、"nova-common"というファイルが見つかりました。

-r--r----- 1 root root  77 Mar 11  2015 nova-common

文書の内容：

nova ALL = (root) NOPASSWD: /usr/bin/nova-rootwrap /etc/nova/rootwrap.conf *

だからパッケージを見つけに行きました。出力dpkg-query-l ノヴァ-共通

Desired=Unknown/Install/Remove/Purge/Hold
| Status=Not/Inst/Conf-files/Unpacked/halF-conf/Half-inst/trig-aWait/Trig-pend
|/ Err?=(none)/Reinst-required (Status,Err: uppercase=bad)
||/ Name           Version      Architecture Description
+++-==============-============-============-=================================
ii  nova-common    2014.1.3-11  all          OpenStack Compute - common files

だからDebianでパッケージのファイルのリストを見つけました。

...
/etc/sudoers.d/nova-common
...

したがって、セキュリティの観点から私の質問は次のとおりです。これらのファイルが存在するのは正常/安全ですか？/etc/sudoers.d？

答え1

OpenStack は、nova仮想サーバー構成、つまり通常はルートレベルのアクセスを必要とする一括構成​​を処理する OpenStack の一部です。自動化には、自動化するタスクを実行するために必要な権限を自動化に付与するメカニズムが必要です。

読みたいかもしれませんルートラップに関するドキュメントsudo：実際には、コマンドだけでなく、パラメータの複雑なフィルタリングを可能にする拡張メカニズムです。したがって、理論的には単独で使用するよりも細かく使用できますsudo。

これは、管理する必要があるシステムにsetuid権限を持つ不透明なバイナリを注入するよりも、自動化にオプションの権限を追加するより監査しやすい方法でなければなりません。

関連情報