sudoers

名前

説明

EBNF の簡単なガイド

 シンボル ::= 定義 | 別の定義 1 | 別の定義 2 ...

?

前に置かれたシンボル (または、シンボルのグループ) が 省略可能であることを意味する。 つまり、シンボルが 1 個登場するか、あるいは全然登場しないかである。

*

前に置かれたシンボル (または、シンボルのグループ) が 0 個以上登場する。

+

前に置かれたシンボル (または、シンボルのグループ) が 1 個以上登場する。

括弧を使うとシンボルをグループにまとめることができる。 以降の例では、(シンボル名ではない) 文字通りの文字列は シングルクオート ('') を使用して明示する。  

エイリアス

 Alias ::= 'User_Alias'  User_Alias (':' User_Alias)* |
           'Runas_Alias' Runas_Alias (':' Runas_Alias)* |
           'Host_Alias'  Host_Alias (':' Host_Alias)* |
           'Cmnd_Alias'  Cmnd_Alias (':' Cmnd_Alias)*

 User_Alias ::= NAME '=' User_List

 Runas_Alias ::= NAME '=' Runas_List

 Host_Alias ::= NAME '=' Host_List

 Cmnd_Alias ::= NAME '=' Cmnd_List

 NAME ::= [A-Z]([A-Z][0-9]_)*

 Alias_Type NAME = item1, item2, ...

 Alias_Type NAME = item1, item2, item3 : NAME = item4, item5

 User_List ::= User |
               User ',' User_List

 User ::= '!'* username |
          '!'* '%'group |
          '!'* '+'netgroup |
          '!'* User_Alias

 Runas_List ::= Runas_User |
                Runas_User ',' Runas_List

 Runas_User ::= '!'* username |
                '!'* '#'uid |
                '!'* '%'group |
                '!'* +netgroup |
                '!'* Runas_Alias

 Host_List ::= Host |
               Host ',' Host_List

 Host ::= '!'* hostname |
          '!'* ip_addr |
          '!'* network(/netmask)? |
          '!'* '+'netgroup |
          '!'* Host_Alias

 Cmnd_List ::= Cmnd |
               Cmnd ',' Cmnd_List

 commandname ::= filename |
                 filename args |
                 filename '""'

 Cmnd ::= '!'* commandname |
          '!'* directory |
          '!'* Cmnd_Alias

Cmnd
がコマンドライン引き数と関連づけられている場合、 Cmnd
の中の引き数は、 ユーザがコマンドラインで指定した引き数と完全にマッチしなければならない (ワイルドカードがあった場合は、それと完全にマッチしなければならない)。 ',', ':', '=', '\' という文字を コマンドライン引き数として使う場合、 '\' でエスケープしなければならない点に注意すること。  

デフォルト

 Default_Type ::= 'Defaults' ||
                  'Defaults' ':' User ||
                  'Defaults' '@' Host

 Default_Entry ::= Default_Type Parameter_List

 Parameter ::= Parameter '=' Value ||
               Parameter '+=' Value ||
               Parameter '-=' Value ||
               '!'* Parameter ||

リストにはその他に 2 つの代入オペレータ +=
と -=
がある。 これらのオペレータはそれぞれリストの追加と削除を行う。 -=
オペレータを使って リストに存在しない要素を削除するとエラーになる。

sudoers ファイルを順序正しく解析させるため、 デフォルトセクションは Host, User, Cmnd エイリアスより前で ユーザ指定より後にする点に注意すること。

フラグ:

long_otp_prompt

(S/Key や OPIE などの) ワンタイムパスワードを使用している場合にこのオプションが有効になっていると、 ローカルなウインドウに入力したパスワードを 簡単にカット＆ペーストできるように、2 行のプロンプトが使われる。 これをデフォルトにするのは良くないが、便利だと言う人もいる。 このフラグはデフォルトでは off である。

ignore_dot

このフラグを設定すると、環境変数 PATH
にある (カレントディレクトリを表す) '.' と '' が無視される。 PATH
そのものは変更されない。 このフラグはデフォルトでは off である。

mail_always

ユーザが sudo を実行する度に、mailto ユーザにメールが送られる。 このフラグはデフォルトでは off である。

mail_badpass

sudo を実行したユーザが正しいパスワードを入力しなかった場合、 mailto ユーザにメールが送られる。 このフラグはデフォルトでは off である。

mail_no_user

このフラグを設定すると、 sudo を起動したユーザが sudoers ファイルにない場合、 mailto ユーザにメールが送られる。 このフラグはデフォルトでは on である。

mail_no_host

このフラグを設定すると、 sudo を起動したユーザが sudoers ファイルに存在するが、 現在のホストでコマンドを実行することが許可されていない場合、 mailto ユーザにメールが送られる。 このフラグはデフォルトでは off である。

mail_no_perms

このフラグを設定すると、 ユーザが sudo を使うことは許可されているが、 実行しようとしたコマンドが sudoers ファイルのエントリにない場合、 mailto ユーザにメールが送られる。 このフラグはデフォルトでは off である。

tty_tickets

このフラグを設定すると、 ユーザは tty 毎に認証しなければならない。 通常、sudo はチケットディレクトリの中にある 実行しているユーザと同じ名前のディレクトリを使う。 このフラグが on になっていると、sudo は チケットディレクトリの中にある ユーザがログインしている tty に対応したファイル名を使う。 このフラグはデフォルトでは off である。

lecture

このフラグを設定すると、 初めて sudo を実行したとき、ユーザは短いレクチャーを受け取る。 このフラグはデフォルトでは on である。

authenticate

このフラグを設定すると、 ユーザはパスワード (もしくは、別の認証方法) で自分自身に対して 認証をしなければならない。 このデフォルトの値は PASSWD
タグと NOPASSWD
タグを使って変更できる。 このフラグはデフォルトでは on である。

root_sudo

このフラグを設定すると、root も sudo が実行できる。 このフラグを off にすると、 ユーザが "sudo sudo /bin/sh"
のようにして root のシェルを入手しようと ``挑戦する'' ことが防止できる。 このフラグはデフォルトでは on である。

log_host

このフラグを設定すると、 ホスト名が (syslog ではない) sudo ログファイルに記録される。 このフラグはデフォルトでは off である。

log_year

このフラグを設定すると、 4 桁の年が (syslog ではない) sudo ログファイルに記録される。 このフラグはデフォルトでは off である。

shell_noargs

このフラグが設定されている場合に sudo が引き数なしで起動されると、 -s フラグが与えられた場合と同様に動作する。 つまり、sudo はシェルを root として実行する (環境変数 SHELL
が設定されている場合、 シェルはその環境変数で決定される。 設定されていない場合、 起動したユーザの /etc/passwd のエントリにあるシェルを使う)。 このフラグはデフォルトでは off である。

set_home

このフラグが設定されている場合に sudo が -s フラグで起動されると、 環境変数 HOME
が対象ユーザのホームディレクトリに設定される (この場合の対象ユーザは、-u オプションで指定されない限り root である)。 このフラグは、-s フラグが使われた場合に -H を暗黙のうちに有効にする。 このフラグはデフォルトでは off である。

always_set_home

このフラグを設定すると、sudo は環境変数 HOME
を 対象ユーザ (-u オプションを使わない限りは root) の ホームディレクトリに設定する。 このフラグは -H を暗黙のうちに有効にする。 このフラグはデフォルトでは off である。

path_info

通常 sudo はコマンドが PATH
環境変数に見つからない場合ユーザに告知する。 通常のユーザが、アクセスできない実行ファイルの場所に関する 情報を収集できないように、 サイトによってはこの告知をユーザに行わないようにしたいことがあるかもしれない。 しかし告知を行わないと、 単に実行ファイルがユーザの PATH
にないだけの場合でも、 sudo はユーザに「実行許可がない」と伝えてしまい、 紛らわしくなる。 このフラグはデフォルトでは off である。

preserve_groups

デフォルトでは、sudo はグループベクトルを 対象ユーザが所属するグループのリストで初期化する。 preserve_groups が設定された場合、 ユーザが既に持っているグループベクトルは変更されない。 だだし実グループ ID と実効グループ ID は、 対象ユーザにマッチするように設定される。 このフラグはデフォルトでは off である。

fqdn

sudoers ファイルに完全なドメイン名付きのホスト名を入れたい場合は、 このフラグを設定する。 すなわち myhost ではなく myhost.mydomain.edu を使いたい場合である。 このフラグを設定しても、使いたければ短い形式を使うことができる (短い形式と完全な形式を混ぜて使うこともできる)。 fqdn を on にすると、sudo は DNS のルックアップが必要になることに注意すること。 DNS のルックアップをすると、 DNS が稼働していないとき (計算機がネットワークに接続されていない場合など) sudo は安全でなくなる。 DNS にあるホストの正式な名前を使わなければならない点にも注意すること。 つまり、パフォーマンスの問題と DNS から全てのエイリアスを取得できないという問題から、 ホスト名のエイリアス ( CNAME
エントリ) を使うことはできない。 ( hostname
コマンドで返される) 計算機のホスト名が 既にドメイン名付きの完全なものである場合、 fqdn を設定するべきではない。 このフラグはデフォルトでは off である。

insults

このフラグを設定すると、sudo は 不正なパスワードを入力したユーザを侮辱する。 このフラグはデフォルトでは off である。

requiretty

このフラグを設定すると、 ユーザが real tty からログインしているときのみ sudo が実行できる。 rsh(1) は tty を確保しないので、 "rsh somehost sudo ls"
といったことが許可されなくなる。 tty がないとエコーが消せないので、 入力時にパスワードが現れてしまうのを防止するために、 このフラグを設定したいと思うサイトもあるだろう。 このフラグはデフォルトでは off である。

env_editor

このフラグを設定すると、visudo は デフォルトのエディタリストを使う前に、 環境変数 EDITOR と VISUAL の値を使う。 ユーザはログに記録されることなく 任意のコマンドを root として実行できてしまうので、 セキュリティホールを作ってしまうことに注意すること。 安全な代替案としては、 コンマで区切ったエディタのリストを editor
変数に設定することである。 そうするとvisudo は、 editor
に指定された値に EDITOR または VISUAL がマッチするときにのみ、 その環境変数を使う。 このフラグはデフォルトでは off である。

rootpw

このフラグを設定すると、sudo は 起動したユーザのパスワードではなく、 root のパスワードを要求する。 このフラグはデフォルトでは off である。

runaspw

このフラグを設定すると、sudo は 起動したユーザのパスワードではなく、 runas_default オプションで定義されたユーザ (デフォルトでは root
) のパスワードを要求する。 このフラグはデフォルトでは off である。

targetpw

このフラグを設定すると、sudo は 起動したユーザのパスワードではなく、 -u フラグで指定されたユーザ (デフォルトでは root
) のパスワードを要求する。 このフラグはデフォルトでは off である。

set_logname

通常 sudo は環境変数 LOGNAME
と USER
を対象ユーザ (-u フラグで指定されないければふつうは root) の名前に設定する。 しかし、実際のユーザの識別に LOGNAME
を使うプログラム (RCS revision control system などが含まれる) があるので、 この挙動を変更したいこともある。 これには set_logname オプションを off にすればよい。

stay_setuid

通常 sudo がコマンドを実行する場合、 実 UID と実行 UID は対象ユーザ (デフォルトは root) に設定される。 このオプションは実 UID を 起動したユーザの UID のままにするように動作を変更する。 言い換えると、このオプションは sudo を setuid ラッパーとして 動作させるということである。 これはプログラムが setuid されて実行されるときの 潜在的に危険な機能を無効にしているシステムで役立つ。 ただし sudo は起動したユーザーの実 UID で実行されるので、 OS におけるシグナルと setuid プロセスの相互作用の定義によっては、 sudo が失敗をログに記録する前にユーザが kill できる点に注意すること。

env_reset

このフラグを設定すると、sudo は以下の変数のみを含むように 環境をリセットする: HOME
, LOGNAME
, PATH
, SHELL
, TERM
, USER
( SUDO_*
以外に)。 これらのうちで TERM
だけが 以前の環境からコピーされる。 他の変数はデフォルトの値に設定される (set_logname オプションの値で変更可能)。 sudo が SECURE_PATH
オプションを付けて コンパイルされている場合、 その値は環境変数 PATH
に使われる。 他の変数は env_keep オプションで保存することもできる。

use_loginclass

このフラグを設定すると、sudo は、 対象ユーザのログインクラスがあれば、それに指定されたデフォルトの値を適用する。 sudo の (コンパイル時に) --with-logincap オプションが 設定されている場合にのみ、有効である。 このフラグはデフォルトでは off である。

整数:

passwd_tries

sudo が失敗をログに記録して終了するまでに、 ユーザがパスワードを入力できる回数。 デフォルトは 3
。

真偽値としても使用される整数:

loglinelen

ファイルログの 1 行当たりの文字数。 この値は、ログファイルを見やすくするために、 行を何桁で折り返すかを決定するために使われる。 syslog ファイルには何も影響せず、ファイルログだけに影響する。 デフォルトは 80
(折り返しをしない場合は 0 を指定する)。

timestamp_timeout

sudo が再度パスワードを尋ねるまでに経過する分数。 デフォルトは 5
。 常にパスワードを要求させるには 0
に設定する。 0
より小さい値に設定すると、 ユーザのタイムスタンプは失効しない。 これはユーザが自身のタイムスタンプの作成・削除を sudo -v
や sudo -k
で可能にするために使う。

passwd_timeout

sudo のパスワード要求が時間切れになるまでの分数。 デフォルトは 5
。 パスワード要求の時間切れをなくすには 0
に設定する。

umask

コマンドを実行する場合の umask。 ユーザの umask を上書きしないためには、 このオプションを無効にするか 0777 に設定すること。 デフォルトは 0022
。

文字列:

mailsub

mailto ユーザに送られるメールの Subject (題名)。 エスケープ %h
は計算機のホスト名に展開される。 デフォルトは *** SECURITY information for %h ***
。

badpass_message

ユーザが不正なパスワードを入力した場合に表示されるメッセージ。 insults が設定されていない限り、 デフォルトは Sorry, try again.
。

timestampdir

sudo がタイムスタンプファイルを置くディレクトリ。 デフォルトは /var/run/sudo。

passprompt

パスワードを尋ねるときに使われるデフォルトのプロンプト。 -p オプションや環境変数 SUDO_PROMPT
を使って変更できる。 2 つのエスケープがサポートされている。 ``%u'' はユーザのログイン名に展開され、 ``%h'' はローカルホスト名に展開される。 デフォルトの値は Password:
。

runas_default

-u フラグがコマンドラインで指定されていない場合に、 コマンドを実行するデフォルトのユーザ。 デフォルトは root
。

syslog_goodpri

ユーザが認証に成功した場合に使われる syslog の priority。 デフォルトは notice
。

syslog_badpri

ユーザが認証に失敗した場合に使われる syslog の priority。 デフォルトは alert
。

editor

visudo で使用可能なエディタのリスト。 リストはコロン (':') で区切る。 visudo はユーザーの USER 環境変数が設定されている場合には、 それにマッチするエディタを選択する。 設定されていない場合は、リストの最初に書かれている エディタが存在して実行可能であれば、それを選択する。 デフォルトはシステム上の vi のパス。

真偽値としても使用される文字列:

logfile

(syslog ログファイルではなく) sudo ログファイルへのパス。 パスを設定すると、そのファイルへログが記録される。 設定しなければ、記録されない。

syslog

ログの記録に syslog が使われている場合の syslog の facility (syslog によるログの記録をしない場合は、設定しないこと)。 デフォルトは local2
。

mailerpath

警告メールを送るのに使われるメールプログラムのパス。 デフォルトは、設定時に見つかった sendmail のパス。

mailerflags

メーラーを起動するときに使われるフラグ。 デフォルトは -t。

mailto

警告メールとエラーメールを送るアドレス。 アドレスは、sudo が @
記号を解釈しないように、 ダブルクォート ( "
) で括らなければならない。 デフォルトは root
。

exempt_group

このグループに属するユーザは、パスワードと PATH が必要ない。 デフォルトでは設定されていない。

verifypw

このオプションは、ユーザが sudo を -v オプションで実行したときに、 いつパスワードが必要とされるかを制御する。 このオプションには以下の値のいずれかを設定できる。

all

パスワードの入力をなしですませるためには、 現在のホストのすべてのユーザの sudoers エントリに NOPASSWD
フラグが設定されていなければならない。

any

パスワードの入力をなしですませるためには、 現在のホストの少なくとも一人のユーザの sudoers エントリに NOPASSWD
フラグが 設定されていなければならない。

never

ユーザは、-v フラグを使う際にパスワードを必要としない。

always

ユーザは、-v フラグを使う際に常にパスワードを入力しなければならない。

デフォルトの値は `all' である。

listpw

このオプションは、ユーザが sudo を -l オプションで実行したときに、 いつパスワードが必要とされるかを制御する。 このオプションには以下の値のいずれかを設定できる。

all

パスワードの入力をなしですませるためには、 現在のホストのすべてのユーザの sudoers エントリに NOPASSWD
フラグが設定されていなければならない。

any

パスワードの入力をなしですませるためには、 現在のホストの少なくとも一人のユーザの sudoers エントリに NOPASSWD
フラグが設定されていなければならない。

never

ユーザは、-l フラグを使う際にパスワードを必要としない。

always

ユーザは、-l フラグを使う際に常にパスワードを入力しなければならない。

デフォルトの値は `any' である。

真偽値としても使用されるリスト:

env_check

変数の値に %
文字または /
文字を 含んでいる場合に、ユーザーの環境から削除される環境変数。 これは良く考えずに書かれたプログラムにおける printf 形式の脆弱性を防ぐためにある。 引き数はダブルクォーテーションで囲んだスペース区切りのリスト、 またはクォートしない 1 個の値である。 リストの置換・追加・削除・無効化は、それぞれ =
, +=
, -=
, !
オペレータで出来る。 チェックされる環境変数のデフォルトのリストは、 sudo に -V をつけて実行すると表示される。

env_delete

ユーザーの環境から削除される環境変数。 引き数はダブルクォーテーションで囲んだスペース区切りのリスト、 またはクォートしない 1 個の値である。 リストの置換・追加・削除・無効化は、それぞれ =
, +=
, -=
, !
オペレータで出来る。 チェックされる環境変数のデフォルトのリストは、 sudo に -V をつけて実行すると表示される。

env_keep

env_reset オプションが実行されるときに、 ユーザーの環境で保存される環境変数。 これにより sudo が起動したプロセスが受け取る環境を細かく制御できる。 引き数はダブルクォーテーションで囲んだスペース区切りのリスト、 またはクォートしない 1 個の値である。 リストの置換・追加・削除・無効化は、それぞれ =
, +=
, -=
, !
オペレータで出来る。 このリストはデフォルトでは何も含まない。

syslog(3) でログを記録している場合、 sudo は syslog の facility (syslog パラメータの値) として、 authpriv (OS がサポートしている場合), auth, daemon, user, local0, local1, local2, local3, local4, local5, local6, local7 を受け付ける。 syslog の priority としては、 alert, crit, debug, emerg, err, info, notice, warning がサポートされている。  

ユーザ設定

 User_Spec ::= User_list Host_List '=' Cmnd_Spec_List \
               (':' User_Spec)*

 Cmnd_Spec_List ::= Cmnd_Spec |
                    Cmnd_Spec ',' Cmnd_Spec_List

 Cmnd_Spec ::= Runas_Spec? ('NOPASSWD:' | 'PASSWD:')? Cmnd

 Runas_Spec ::= '(' Runas_List ')'

ユーザ設定を構成要素ごとに分けてみる。  

Runas_Spec

 dgb    boulder = (operator) /bin/ls, /bin/kill, /usr/bin/who

    sudo -u operator /bin/ls.

 dgb    boulder = (operator) /bin/ls, (root) /bin/kill, /usr/bin/lprm

NOPASSWD と PASSWD

 ray    rushmore = NOPASSWD: /bin/kill, /bin/ls, /usr/bin/lprm

 ray    rushmore = NOPASSWD: /bin/kill, PASSWD: /bin/ls, /usr/bin/lprm

デフォルトでは、現在のホスト上のあるユーザのどれかのエントリに NOPASSWD
タグが適用されていれば、 そのユーザは sudo -l
を パスワードなしに実行できるようになる。 さらに、あるユーザの現在のホストに関連する全てのエントリに NOPASSWD
タグがある場合に限り、 そのユーザは sudo -v
を パスワードなしに実行できるようになる。 この動作は verifypw と listpw オプションを使って変更できる。  

ワイルドカード (別名、メタキャラクタ):

sudo は sudoers ファイルにおいて、 コマンドライン引き数やパス名に対して シェル形式のワイルドカードを使うことができる。 ワイルドカードのマッチングは、 POSIX の fnmatch(3)
ルーチンを使って行われる。 正規表現ではない点に注意すること。

*

任意の 0 個以上の文字にマッチする。

?

任意の 1 個の文字にマッチする。

[...]

指定した範囲にある任意の文字にマッチする。

[!...]

指定した範囲にない任意の文字にマッチする。

\x

``x'' で評価される任意の文字 ``x''。 これは、``*'', ``?'', ``['', ``}'' のような エスケープ文字に対して使われる。

フォワードスラッシュ ('/') は、パス名で使われるワイルドカードに対しては マッチしない点に注意すること。 コマンドライン引き数に対してマッチングをする場合、 スラッシュはワイルドカードにマッチする。 これは

    /usr/bin/*

ワイルドカードの規則における例外:

``''

空の文字列 ""
が sudoers エントリの 唯一のコマンドライン引き数である場合、 「コマンドに引き数をつけたときは、実行することが許可されない」 ということを意味する。

その他の特殊文字と予約語:

予約語 ALL は組込みのエイリアスで、 常にマッチを成功させる。 この予約語はどこでも使える。 これを使いたくない場合は、 Cmnd_Alias
, User_Alias
, Runas_Alias
, Host_Alias
を使うこと。 ALL という エイリアス を自分で定義しようとしてはならない。 組込みのエイリアスが優先されるからである。 ALL を使うと危険になる可能性がある点に注意すること。 なぜなら、これをコマンドの指定で使うと、 ユーザはシステム上の全てのコマンドを実行できるからである。

感嘆符 ('!') は、エイリアスの中と Cmnd
の前で、 論理学の not オペレータとして使うことができる。 これにより、ある値を排除できる。 しかし !
を 組込みの ALL
エイリアスと組み合わせて、 ユーザが ``全てではなく一部の'' コマンドを実行できるように しようとしても、意図したように動作することは稀である点に注意すること (以下の「セキュリティ上の注意」を参照)。

長い行は、バックスラッシュ ('\') を行の最後の文字にすれば 続けることができる。

リストにおける構成要素間の空白や、 ユーザ設定における特殊な構文文字 ('=', ':', '(', ')') は、なくてもよい。

'@', '!', '=', ':', ',', '(', ')', '\' という文字をワード (例えば、ユーザ名やホスト名) の一部として使う場合は、 バックスラッシュ ('\') でエスケープしなければならない。  

例

 # User alias specification
 User_Alias     FULLTIMERS = millert, mikef, dowdy
 User_Alias     PARTTIMERS = bostley, jwfox, crawl
 User_Alias     WEBMASTERS = will, wendy, wim

 # Runas alias specification
 Runas_Alias    OP = root, operator
 Runas_Alias    DB = oracle, sybase

 # Host alias specification
 Host_Alias     SPARC = bigtime, eclipse, moet, anchor :\
                SGI = grolsch, dandelion, black :\
                ALPHA = widget, thalamus, foobar :\
                HPPA = boa, nag, python
 Host_Alias     CUNETS = 128.138.0.0/255.255.0.0
 Host_Alias     CSNETS = 128.138.243.0, 128.138.204.0/24, 128.138.242.0
 Host_Alias     SERVERS = master, mail, www, ns
 Host_Alias     CDROM = orion, perseus, hercules

 # Cmnd alias specification
 Cmnd_Alias     DUMPS = /usr/bin/mt, /usr/sbin/dump, /usr/sbin/rdump,\
                        /usr/sbin/restore, /usr/sbin/rrestore
 Cmnd_Alias     KILL = /usr/bin/kill
 Cmnd_Alias     PRINTING = /usr/sbin/lpc, /usr/bin/lprm
 Cmnd_Alias     SHUTDOWN = /usr/sbin/shutdown
 Cmnd_Alias     HALT = /usr/sbin/halt, /usr/sbin/fasthalt
 Cmnd_Alias     REBOOT = /usr/sbin/reboot, /usr/sbin/fastboot
 Cmnd_Alias     SHELLS = /usr/bin/sh, /usr/bin/csh, /usr/bin/ksh, \
                         /usr/local/bin/tcsh, /usr/bin/rsh, \
                         /usr/local/bin/zsh
 Cmnd_Alias     SU = /usr/bin/su

 # Override built in defaults
 Defaults               syslog=auth
 Defaults:FULLTIMERS    !lecture
 Defaults:millert       !authenticate
 Defaults@SERVERS       log_year, logfile=/var/log/sudo.log

 root           ALL = (ALL) ALL
 %wheel         ALL = (ALL) ALL

 FULLTIMERS     ALL = NOPASSWD: ALL

 PARTTIMERS     ALL = ALL

 jack           CSNETS = ALL

 lisa           CUNETS = ALL

 operator       ALL = DUMPS, KILL, PRINTING, SHUTDOWN, HALT, REBOOT,\
                /usr/oper/bin/

 joe            ALL = /usr/bin/su operator

 pete           HPPA = /usr/bin/passwd [A-z]*, !/usr/bin/passwd root

 bob            SPARC = (OP) ALL : SGI = (OP) ALL

 jim            +biglab = ALL

 +secretaries   ALL = PRINTING, /usr/bin/adduser, /usr/bin/rmuser

 fred           ALL = (DB) NOPASSWD: ALL

 john           ALPHA = /usr/bin/su [!-]*, !/usr/bin/su *root*

 jen            ALL, !SERVERS = ALL

ユーザ jen は、 Host_Alias
の SERVERS にある計算機 (master, mail, www, ns) 以外で、全てのコマンドを実行できる。

 jill           SERVERS = /usr/bin/, !SU, !SHELLS

 steve          CSNETS = (operator) /usr/local/op_commands/

 matt           valkyrie = KILL

 WEBMASTERS     www = (www) ALL, (root) /usr/bin/su www

 ALL            CDROM = NOPASSWD: /sbin/umount /CDROM,\
                /sbin/mount -o nosuid\,nodev /dev/cd0a /CDROM

セキュリティ上の注意

    bill        ALL = ALL, !SU, !SHELLS

警告

(ユーザのではなく) 計算機のネットグループを使う場合、 (よくあるように) ネットグループに 完全なドメイン名付きのホスト名を入れる場合、 ホスト名は hostname
コマンドで返される 完全なドメイン名付きのものである必要がある。 また sudoers に fqdn オプションを指定する必要がある。  

ファイル

 /etc/sudoers           誰が何を実行できるかのリスト
 /etc/group             ローカルのグループファイル
 /etc/netgroup          ネットワークグループのリスト

関連項目

Index

名前

説明

EBNF の簡単なガイド

エイリアス

デフォルト

ユーザ設定

Runas_Spec

NOPASSWD と PASSWD

ワイルドカード (別名、メタキャラクタ):

ワイルドカードの規則における例外:

その他の特殊文字と予約語:

例

セキュリティ上の注意

警告

ファイル

関連項目