Permitir que o usuário1 “su - usuário2” sem senha

Eu preciso permitir que o usuário martinmude para o usuário martin-testsem senha

su - martin-test

Eu acho que isso pode ser configurado em /etc/pam.d/su. Já existem algumas linhas nesse arquivo que podem ser descomentadas. No entanto, não gosto da ideia de adicionar usuário martinao grupo wheel. Não quero dar martinmais privilégios do que poder mudar martin-test. Eu também não quero usar sudo.

Qual seria a melhor maneira de fazer isso, mantendo os privilégios do usuário martinmínimos?

Adicione as seguintes linhas logo abaixo da pam_rootok.solinha no seu /etc/pam.d/su:

auth  [success=ignore default=1] pam_succeed_if.so user = martin-test
auth  sufficient                 pam_succeed_if.so use_uid user = martin

Essas linhas executam verificações usando o pam_succeed_if.somódulo. Consulte também a sintaxe do arquivo de configuração Linux-PAM para saber mais sobre as authlinhas.

• A primeira linha verifica se o usuário de destino é martin-test. Se for, nada acontece ( success=ignore) e continuamos na próxima linha para verificar o usuário atual . Caso contrário, a próxima linha será ignorada ( default=1) e continuamos nas linhas subseqüentes com as etapas de autenticação usuais.
• A segunda linha verifica se o usuário atual é martin. Se for, o sistema considera o processo de autenticação como bem-sucedido e retorna ( sufficient). Caso contrário, nada acontece e continuamos nas linhas subseqüentes com as etapas de autenticação usuais.

Você também pode restringir sua um grupo, aqui o grupo allowedpeoplepode susem uma senha:

auth sufficient pam_succeed_if.so use_uid user ingroup allowedpeople

Se você não deseja alterar grupos ou usar sudo, use um módulo pam chamado pam_execpara executar scripts externos em um estágio pam.

Adicione uma linha no seu /etc/pam.d/suapós a pam_rootok.solinha:

auth       sufficient pam_exec.so quiet /path/to/script

/path/to/script possui as permissões 755 (rwxr-xr-x) e o seguinte conteúdo:

#!/bin/bash
if [ "$PAM_TYPE" == "auth" ] && \
[ "$PAM_USER" == "martin-test" ] && \
[ "$PAM_RUSER" == "martin" ]; then
  exit 0
else
  exit 1
fi

Portanto, este script existe com sucesso se su:

• é chamado no contexto de autenticação,
• o usuário que está chamando é martine
• o usuário para autenticar é martin-test.

Vejo:

martin@host:~$ su - martin-test
martin-test@host:~$ exit
martin@host:~$ su - otheruser
Password: ****
otheruser@host:~$ 

Se você não tiver acesso à conta raiz, mas tiver a senha do usuário que deseja usar para executar um comando, faça o seguinte.

• Isso solicitará a senha do toto: su - toto -c whoami
• Isso não será: ssh toto @ localhost whoami

Apenas instale sua chave pública em allowed_keys do toto

Minha solução simples é:

sudo login -f martin-test

Se você quiser evitar o sudo a todo custo, acho que deve ser possível colocar isso em um script:

1. de propriedade de root e com privilégios de root (usando o sinalizador setuid )
2. executável por todos, também sem nenhum sudo.

No entanto, não consigo descobrir os bits chown roote chmod +s ToTest.sh, para fazer isso realmente funcionar:

#!/usr/bin/env bash
echo howdy, I am $(whoami)
sudo login -f martin-test

Eu ainda corro como meu usuário normal, como o eco me diz. E ainda requer senha sudo. Se estivesse rodando como root, poderia-se acabar com sudoa última linha ...