Файл Sudoers, включите NOPASSWD для пользователя, все команды

Предисловие

Это довольно сложный вопрос, связанный с файлом Sudoers и командой sudo в целом.

ПРИМЕЧАНИЕ. Я внес эти изменения на выделенной машине с Ubuntu Desktop 13.04, которую я использую исключительно в учебных целях. Я понимаю, что включить NOPASSWD sudo - огромный риск для безопасности.

Вопрос

Первоначально мое единственное изменение в файле sudoers (/ etc / sudoers) было одной строкой, пользовательской спецификацией, которая должна была позволить nicholsonjf запускать все команды с помощью sudo без необходимости ввода пароля (см. Строку, начинающуюся с nicholsonjf). «):

# This file MUST be edited with the 'visudo' command as root.
#
# Please consider adding local content in /etc/sudoers.d/ instead of
# directly modifying this file.
#
# See the man page for details on how to write a sudoers file.
#
Defaults        env_reset
Defaults        mail_badpass
Defaults        secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"

# Host alias specification

# User alias specification

# Cmnd alias specification

# User privilege specification
root    ALL=(ALL:ALL) ALL
nicholsonjf    ALL=NOPASSWD: ALL

# Members of the admin group may gain root privileges
%admin ALL=(ALL) ALL

# Allow members of group sudo to execute any command
%sudo   ALL=(ALL:ALL) ALL

# See sudoers(5) for more information on "#include" directives:

#includedir /etc/sudoers.d

Однако это не сработало, и мне все равно предлагали ввести пароль каждый раз, когда я запускал команду nicholsonjf. Я смог запустить команды sudo только как nicholsonjf, как только удалил nicholsonjf из групп sudo и admin.

Кто-нибудь может объяснить, почему это сработало?

Это потому, что пользователь 'nicholsonjf' наследовал права sudo от двух групповых спецификаций 'admin' и 'sudo' (как показано ниже в файле sudoers), которые переопределяли пользовательскую спецификацию 'nicholsonjf', потому что они находились ниже в файл конфигурации?

Добавленная вами строка была переопределена. От man sudoers:

Когда несколько записей совпадают для пользователя, они применяются по порядку. При наличии нескольких совпадений используется последнее совпадение (которое не обязательно является наиболее конкретным совпадением).

В вашем случае nicholsonjfбыл членом группы, sudoпоэтому для него эта строка применяется:

%sudo   ALL=(ALL:ALL) ALL

Если вы хотите переопределить записи, /etc/sudoersпросто поместите новые записи после них.

Новая запись должна выглядеть

myuser ALL=(ALL) NOPASSWD: ALL для одного пользователя, или

%sudo ALL=(ALL) NOPASSWD: ALL для группы.

Для одного пользователя добавьте эту строку в конец вашего sudoersфайла, используяsudo visudo

superuser ALL=(ALL) NOPASSWD: ALL

Для группы

%supergroup  ALL=(ALL) NOPASSWD: ALL

Никогда не запрашивать у текущего пользователя пароль, когда он использует команду sudodo

echo "$USER ALL=(ALL:ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/dont-prompt-$USER-for-password

это создаст файл с именем /etc/sudoers.d/dont-prompt-<YOUR USERNAME>-for-sudo-passwordи будет означать, что пользователь, который запустил эту команду, не будет запрашивать свой пароль при выполнении sudoкоманды. Вам по-прежнему будет предложено ввести пароль в других контекстах, например при установке содержимого из графического приложения Ubuntu Software .

Преимущества такого подхода по сравнению с добавлением строки в echoкоманде к /etc/sudoersиспользованию sudo visudo(как показано в других ответах)

1. /etc/sudoersиногда модифицирована обновлений системы, в то время как файлы в /etc/sudoers.dне
2. sudo visudoметод подвержен ошибкам ( о чем свидетельствует этот самый вопрос), в то время как копировать / вставить команду гораздо сложнее испортить

Согласно sudo cat /etc/sudoers.d/READMEэтой возможности (добавление дополнительных файлов sudoer /etc/sudoers.d) было включено по умолчанию начиная с Debian 1.7.2p1-1, который вышел в конце 1990-х годов (Ubuntu основан на Debian ).

Как Винс уже упоминалось в комментариях , вы можете использовать эту строку:

%sudo ALL=NOPASSWD: ALL

(Это отличается от строк, показанных в этих ответах , и это решило проблему для меня.)