ADグループSUDOを許可

Question 1

お問い合わせから数ヶ月が経過しましたが、正解はグループからすべてのドメイン情報を削除することです。すべての情報はSSSDによって自動的に設定され抽出されます。

いくつかの例で私が見た唯一の欠陥は、^を使用してスペースをエスケープすることです。

AD グループには、Enterprise Adminssudoers で始まる行があります。

%Enterprise\ Admins

たとえば、ドメインがある場合、example.comsudoers行は次のようになります。

%Enterprise\ [email protected] ALL=(ALL) ALL

グループからgetentを呼び出してこれを確認できます。

getent group Enterprise\ Admins

Answer

お問い合わせから数ヶ月が経過しましたが、正解はグループからすべてのドメイン情報を削除することです。すべての情報はSSSDによって自動的に設定され抽出されます。

いくつかの例で私が見た唯一の欠陥は、^を使用してスペースをエスケープすることです。

AD グループには、Enterprise Adminssudoers で始まる行があります。

%Enterprise\ Admins

たとえば、ドメインがある場合、example.comsudoers行は次のようになります。

%Enterprise\ [email protected] ALL=(ALL) ALL

グループからgetentを呼び出してこれを確認できます。

getent group Enterprise\ Admins

Question 2

winbind次に、sssdNISネットグループと同じ方法でADグループをインポートします。したがって、ファイルのグループ定義は代わり/etc/sudoersに始める必要があります。また、スペースを含む名前は二重引用符で囲むか、各スペースをとして指定する必要があります。+%\x20

%sudo              ALL = (ALL) ALL
+"domain users"    ALL = (ALL) ALL
+domain\x20admins  ALL = (ALL) NOPASSWD: ALL

Answer

winbind次に、sssdNISネットグループと同じ方法でADグループをインポートします。したがって、ファイルのグループ定義は代わり/etc/sudoersに始める必要があります。また、スペースを含む名前は二重引用符で囲むか、各スペースをとして指定する必要があります。+%\x20

%sudo              ALL = (ALL) ALL
+"domain users"    ALL = (ALL) ALL
+domain\x20admins  ALL = (ALL) NOPASSWD: ALL

Question 3

PAM経由でもローカルsudoersファイルでもvisudoを使用してsudoを管理する場合%GroupName。

sudo-ldapを使用している場合は、ADグループをネットグループとして処理して使用するように構成する必要があります+NetGroupName。私はNFSロールを有効にし、通常のADグループとペアになるネットグループを作成することでこれを行いました。

New-NfsNetgroup -NetGroupName MyNetGroup -AddMember MyMember

* MyMemberはFQDNではなくホスト名にすぎません。

また、PAMの代わりにsssdを使用しているため、sss_cache -E新しいネットグループ名を取得するにはキャッシュをフラッシュする必要があります。

確認する：

getent netgroup MyNetGroup

あなたは見なければなりません：

MyNetGroup    (MyMember,-,-)

ADDCでNFS共有を有効にしておらず、Netgroup名前空間で作成できるようにNFSロールをインストールしました。

Answer