В настоящее время, когда я хочу предоставить некоторой группе пользователей доступ для редактирования файла, я действую следующим образом:
ipa sudocmd-add --desc=Vi IMproved default-mode, no-exec, no-suspend mode' '/usr/bin/rvim'
ipa sudocmdgroup-add edition --desc='commands for restricted edition'
ipa sudocmdgroup-add-member edition --sudocmds=/usr/bin/rvim
ipa sudorule-add edition-4-operators --desc='Operator access to restricted edition commands'
ipa sudorule-add-allow-command edition-4-operators --sudocmdgroups=edition
а затем остальные параметры, связанные с HBAC, SELinux и т. д.
Я хочу заменить /usr/bin/rvim со встроенным sudoedit(8) во всех судорулах моего freeIPA сервер.
Мне нужно объявить sudoedit как sudocmd по-прежнему? Могу я напрямую добавить sudoedit к sudocmdgroup не объявляя это как sudocmd ранее?
Вот как это сделать (собственно, практический пример):
# ipa sudocmd-add --desc='sudoedit configuration file of IPv4 packet filtering and NAT' 'sudoedit /etc/sysconfig/iptables'
--------------------------------------------------------------
Added Sudo Command "sudoedit /etc/sysconfig/iptables"
--------------------------------------------------------------
Sudo Command: sudoedit /etc/sysconfig/iptables
Description: sudoedit configuration file of IPv4 packet filtering and NAT
# ipa sudocmdgroup-add-member networking --sudocmds='sudoedit /etc/sysconfig/iptables'
Sudo Command Group: networking
Description: commands for network configuration and troubleshooting
Member Sudo commands: sudoedit /etc/sysconfig/iptables
-------------------------
Number of members added 1
-------------------------
Быть sudoedit a sudo builtin
# ls -lrt /usr/bin/sudoedit
lrwxrwxrwx. 1 root root 4 Apr 8 09:00 /usr/bin/sudoedit -> sudo*
пытаюсь добавить судорул с помощью /usr/bin/sudoedit потерпит неудачу с этой ошибкой:
$ sudo -e /etc/sysconfig/iptables
Sorry, user joe is not allowed to execute 'sudoedit /etc/sysconfig/iptables' as root on host.domain.com.
Правильно работает для обоих sudo -e и sudoedit.