GCPに管理者権限で入るのをやめる！ sudoコマンドのようなJust in Timeな権限管理
この記事はGoogle Cloud Platform Advent Calendar 2020の18日目です。 はじめに LinuxサーバやWindowsサーバに「rootやAdministoratorなどの特権アカウントで入らない」というのは良く利用。。。と言うかもはや鉄板中の鉄板のプラクティスだと思います。rm -rf / tmp/hogehogeを実行して顔を青くしたことがある人もいるのでは？ このような事故を防ぐために最小権限で通常はアクセスする考え方を 「最小権限の原則 (The least privilege principle)」 と呼びます。 (wheel権限が付いてるにしても)サーバへのログインで特権ユーザそのものを使う人は流石にほとんど無いと思います。でも、クラウド環境そのもの、つまりGCPコンソールへはオーナー権限等の特権アカウントで入ってしまう怠け者のエンジニアは誰
suとsudoの違い - Qiita
suとsudoはオプションの違いはあるものの、できることはほぼ重複している。 ただ、suは切替先ユーザー（root）のパスワードが要求されるのに対し、sudoは元のユーザーのパスワードが要求される。sudoは/etc/sudoersで権限を細かく設定できるので、どちらか片方だけ覚えるならsudoだけを覚えておくとよい。 オプションによって実行後のカレントディレクトリや環境変数が変わってきて、それでハマることがあるので違いをまとめておく。 （Amazon Linuxで確認。CentOSでもほぼ同じと思うが、他のディストリビューションでは違う可能性あり） コマンド .bash_profile .bashrc pwd HOME PATH
sudoersを変更する、よく使う設定例 - それマグで！
sudoers を編集する前に。 sudoers は編集をミスすると大変なことになります。 visudo を使う。 /etc/sudoers を直接編集しないこと。visudo コマンドを使いましょう sudoresのミススペル確認しましょう。 正しくは sudoers です。 sudores でググったらsudores が市民権を得たくらいにたくさんエントリがあって驚きます。cron（クロン）をクウロン・コロンと呼ぶくらいあり得ない。 @ITも間違ってる。魚拓 （%h）などを明示することで、sudoコマンド実行者に、どのサーバ上でどのユーザーから実行しようとしているのかを再認識させることができる。 sudoのパスワードプロンプトを変更する場合は、 sudoresに例えば以下のように記述する。 Defaults passprompt = "%u@%h Password: " http://
%25E3%2581%25A7%25E3%2581%25AF%25E3%2581%25BE%25E3%2581%25A3%25E3%2581%259F%25E8%25A9%25B1)
sudo -Hと環境変数($PATH)ではまった話 - ふり返る暇なんて無いね
当たり前の話ではありますが、何を勘違いしてたか、今までsudo -Hすれば、$PATHをはじめとした環境変数がスイッチ後のユーザの物が使われると思っていました。 sudo -H してるのに$PATHが実行ユーザのもの引き継いだままで何故だーとはまっていました。 実際は-Hオプションは$HOMEを書き換えてくれるだけのオプションです。 % man sudo ... 前略 -H The -H (HOME) option requests that the security policy set the HOME environment variable to the home directory of the target user (root by default) as specified by the password database. Depending on the policy,
自分好みの環境をsudo時にも使えるようにする - 絶品ゆどうふのタレ
以下のように.*shrcに記述しておくと、自分のshellで設定した内容のほとんどをsudo後にも引き継ぐことが出来て、ちょっと便利。 alias sudo='sudo -E ' これだけ。これは2つのことをやっていて 実行ユーザーの環境変数の大部分をsudo後も引き継ぐ 実行ユーザーのalias設定をsudo後も引き継ぐ という効果がある。 環境変数の引き継ぎ 前者の、環境変数の引継を実現しているのは、-Eオプション。 これは、正確には環境変数を引き継いでいるのでは無く、sudoersで設定されているenv-resetを無効にする効果がある。 そのため、$USER/$LOGNAME/$PATHなどの環境変数は(defaultでは)rootで上書きされるのだが、$HOMEは実行ユーザーのままだったり、$LV/$EDITORなども引き継がれたりする。 もちろん、これはsudoersのenv周
多段sshの方法 - About Digital
多段sshをするのは知ってれば結構簡単で [digitalbot@local]$ ssh -t FOO ssh BAR と-tオプションを使うことでssh先で後続のコマンドを実行してくれるのでlocal --> FOO --> BARと多段sshしてくれる。 途中でsudoをはさむ 途中でsudoを挟んで三段sshするときなんかは少しやっかい。 local --> FOO --> BAR --> BAZ でFOOからBARにsshする際にsudo ssh BARしなきゃいけないとき。 つまりワンライナーじゃなく順番にログインしていくと下記みたいになるやつ。 [digitalbot@local]$ ssh FOO [digitalbot@FOO]$ sudo ssh BAR [root@BAR]$ ssh BAZ これは [digitalbot@local]$ ssh -t FOO /usr
Emacs trampを使った多段リモートファイル操作 - About Digital
Emacsではtrampという、リモートのファイルやディレクトリをあたかもローカルにあるように扱うことができる拡張が標準で備えられてる。 emacs + trampで多段SSHで接続したサーバー上のファイルを直接編集する時のメモ これは少し過去の情報だが、基本的にはこの通りだし、多段ssh、なかでもsudoを途中で挟む多段sshについて言及されているのでとても良い記事だと思う。そこで、自分への忘備録も兼ねて、使い方や補足をしたいと思う。ちなみに、環境としてはCocoaEmacs v24.3を想定しているが、Emacs v23以降だったら大体変わらないと思う。 HOW TO USE 最初から入ってるので.emacsに (require 'tramp) (setq tramp-default-method "ssh") するだけ。あとはホントにC-xC-f /user@hoge.com:~/f
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
CentOSのsudoまとめ - Qiita
rootだけtty無しのsudoを許可 - Qiita
root 権限でファイルを開き直す - Qiita