Linux commando: sudo

Typ als gewone gebruiker een verkeerd commando en Linux houdt je tegen met Permission denied. Zet de vier letters sudo ervoor en na je eigen wachtwoord draait datzelfde commando met de volledige macht van het systeem. Dat kleine woord is de voordeur naar root op vrijwel elke Linux-server. Het lijkt onbeduidend, maar erachter zit een zorgvuldige policy-engine, een setuid-truc, en een regelbestand dat precies bepaalt wie wat mag.

2. Waar komt de naam vandaan?

De naam sudo lees je meestal als superuser do: "doe dit als de superuser".

sudo  =  SuperUser DO

Er is een tweede, preciezere lezing. Omdat sudo een commando als elke gebruiker kan draaien, niet alleen root, wordt het ook uitgelegd als substitute user do: "doe dit als een vervangende gebruiker". Beide lezingen zijn gangbaar, en de manpagina zelf zegt simpelweg "execute a command as another user", wat allebei dekt.

Het verwante, oudere commando su volgt dezelfde logica. Het is kort voor substitute user (vaak verkeerd onthouden als "superuser"), en het schakelt je hele sessie om naar een andere gebruiker. sudo is ontworpen als een veiliger, fijnmaziger familielid van su, en daarom rijmen de namen.

4. Eenvoudige toepassingen

4.1 Een enkel commando als root draaien

Dit is het dagelijkse geval. Je zet sudo voor een commando dat beheerrechten nodig heeft:

$ apt install htop
E: Could not open lock file /var/lib/dpkg/lock-frontend - Permission denied

$ sudo apt install htop
[sudo] password for peter:
Reading package lists... Done

Alleen het commando direct na sudo draait met extra rechten. Alles ervoor en erna ben je nog gewoon jezelf.

4.2 Een vergeten sudo herstellen: het magische sudo !!

Je draait een commando, het faalt door gebrek aan rechten, en je beseft dat je sudo vergat. In plaats van de hele regel opnieuw te typen, herhaal je het vorige commando met !! (de "laatste commando"-snelkoppeling van de shell):

$ systemctl restart nginx
Failed to restart nginx.service: Access denied

$ sudo !!
sudo systemctl restart nginx
[sudo] password for peter:

De shell vervangt !! door het vorige commando, dus sudo !! wordt "draai datzelfde commando nog eens, maar als root". Het is een van de meest geliefde snelkoppelingen in het dagelijkse Linux-werk.

4.3 Als een andere gebruiker draaien

Standaard draait sudo het commando als root, maar met de vlag -u (kort voor user) kun je elke doelgebruiker benoemen. Dit is gebruikelijk wanneer een dienst onder zijn eigen account draait:

$ sudo -u postgres psql       # run psql as the postgres user
$ sudo -u www-data whoami     # confirm the identity
www-data

Dus "sudo" betekent niet altijd "root". Het betekent "draai als de gebruiker die het beleid toestaat", en root is alleen de standaard.

4.4 Controleren wat je mag doen: -l

Voordat je op zoek gaat naar een wachtwoord, kun je sudo vragen wat het je zal toestaan. De vlag -l (kort voor list) toont je rechten:

$ sudo -l
User peter may run the following commands on server:
    (ALL : ALL) ALL

De regel (ALL : ALL) ALL betekent "als elke gebruiker, als elke groep, draai elk commando". Een beperkter account zou in plaats daarvan een enkele dienst kunnen tonen die het mag herstarten, en verder niets.

6. Gevorderde toepassingen

6.1 Het sudoers-bestand en visudo

Alle beslissingen van sudo komen uit een policy-bestand: /etc/sudoers. Het somt op wie welke commando's mag draaien, als wie, en of een wachtwoord nodig is. Je bewerkt het nooit met een gewone teksteditor. Je gebruikt visudo, dat het bestand vergrendelt, je editor opent en, cruciaal, de syntaxis controleert voor het opslaat:

$ sudo visudo

Die syntaxiscontrole is geen luxe. Een enkele typefout in /etc/sudoers kan elke gebruiker in een klap buiten sudo sluiten, en dan is er geen makkelijke weg terug. visudo weigert een kapot bestand op te slaan, wat talloze beheerders heeft gered.

Een paar regels uit een typisch sudoers-bestand verklaren het formaat:

root    ALL=(ALL:ALL) ALL
%sudo   ALL=(ALL:ALL) ALL

Lees de tweede regel van links naar rechts: de %sudo betekent "leden van de groep genaamd sudo", de eerste ALL is "op elke host", (ALL:ALL) is "mag draaien als elke gebruiker en elke groep", en de laatste ALL is "elk commando". De voorafgaande % is wat een groep aanduidt in plaats van een enkele gebruiker.

6.2 Losse bestanden: /etc/sudoers.d/

In plaats van het hoofdbestand te bewerken, is de moderne praktijk om een klein bestand toe te voegen in de map /etc/sudoers.d/. Elk bestand daar wordt als onderdeel van het beleid gelezen, wat eigen regels apart en makkelijk te verwijderen houdt. Maak ze altijd aan met visudo -f zodat de syntaxis nog steeds wordt gecontroleerd:

$ sudo visudo -f /etc/sudoers.d/deploy

6.3 Commando's zonder wachtwoord: NOPASSWD

Soms moet een script of een automatiseringsaccount een specifiek commando als root draaien zonder te stoppen voor een wachtwoord. De tag NOPASSWD staat precies dat toe, en alleen dat:

deploy  ALL=(root) NOPASSWD: /usr/bin/systemctl restart myapp

Dit laat de gebruiker deploy een dienst herstarten, zonder wachtwoord, en niets anders als root. Dat is de juiste manier om NOPASSWD te gebruiken: beperk het tot een enkel, exact commando. NOPASSWD: ALL toekennen deelt volledige root zonder wachtwoord uit en gooit de veiligheid weg.

6.4 Een login-shell of een gewone shell: -i en -s

Wanneer je echt een interactieve root-shell nodig hebt, geven twee vlaggen die aan je:

$ sudo -i      # a full login shell as root (loads root's environment)
$ sudo -s      # a shell as root, but keep your own environment

De vlag -i (kort voor login) gedraagt zich alsof root net had ingelogd: het gaat naar de home-map van root en leest de opstartbestanden van root. De vlag -s (kort voor shell) start een root-shell maar blijft in je huidige map met veel van je eigen omgeving. Gebruik deze spaarzaam; de hele geest van sudo is een commando per keer.

6.5 Bestanden veilig bewerken: sudoedit

Een veelvoorkomende taak is het bewerken van een configuratiebestand dat eigendom is van root. De verleidelijke manier is sudo vim /etc/nginx/nginx.conf, maar dat draait je hele editor als root, met al zijn plugins en shell-escapes, wat meer macht is dan de klus nodig heeft. Het veiligere gereedschap is sudoedit, ook bereikbaar als sudo -e:

$ sudoedit /etc/nginx/nginx.conf
$ sudo -e /etc/nginx/nginx.conf     # exactly the same thing

Wat er onder de motorkap gebeurt is slim. sudoedit kopieert het bestand naar een tijdelijke plek, draait jouw editor als jou (niet als root), en schrijft het resultaat pas als root terug wanneer je opslaat. Je editor draait nooit met de macht van root, wat een hele klasse van beveiligingsgaten dicht. Het respecteert ook je eigen $EDITOR-instelling.

6.6 De omgeving: env_reset en secure_path

Voor de veiligheid neemt sudo niet zomaar je omgeving mee in het root-commando. Standaard (de optie env_reset) begint het vanuit een schone, minimale omgeving en gebruikt het een vast, vertrouwd secure_path om programma's te vinden. Dit voorkomt dat een gebruiker PATH naar een kwaadaardig nep-commando wijst en root dat laat draaien.

Twee gevolgen betrappen mensen. Ten eerste is een variabele die je exporteerde misschien niet zichtbaar binnen sudo; geef hem door met -E (kort voor preserve-env) of benoem hem expliciet:

$ sudo -E ./deploy.sh                 # keep the whole environment
$ sudo --preserve-env=HTTP_PROXY cmd  # keep just one variable

Ten tweede kan een programma in een ongebruikelijke map "niet gevonden" zijn onder sudo, ook al vindt je shell het wel, omdat secure_path bewust kort is. Geef in dat geval het volledige pad op.

8. Beste praktijken

• Gebruik sudo, geen root-login. Losse commando's met sudo draaien houdt een log bij, gebruikt je eigen wachtwoord, en laat je meteen terugvallen naar een veilig, gewoon account.
• Bewerk het beleid altijd met visudo. Open /etc/sudoers nooit rechtstreeks. De syntaxiscontrole die visudo uitvoert is wat tussen jou en buitengesloten worden staat.
• Geef de voorkeur aan losse bestanden. Zet eigen regels in /etc/sudoers.d/ (aangemaakt met visudo -f) zodat ze makkelijk te bekijken en te verwijderen zijn zonder het hoofdbestand aan te raken.
• Verleen zo min mogelijk. Als een account alleen een dienst hoeft te herstarten, schrijf dan precies dat commando in de regel. Vermijd het uitdelen van (ALL) ALL als een enkele regel volstaat.
• Bewerk bestanden met sudoedit. Grijp naar sudoedit bestand in plaats van sudo vim bestand zodat je editor nooit met de macht van root draait.
• Wees heel voorzichtig met NOPASSWD. Het is nuttig voor een smal, geautomatiseerd commando, maar NOPASSWD: ALL geeft volledige root zonder wachtwoord weg.
• Lees de handleiding bij twijfel. Het gedrag is allemaal gedocumenteerd, en man sudo of man sudoers typen is het teken van een zorgvuldige beheerder.

$ man sudo         # the sudo command itself
$ man sudoers      # the policy file format, with many examples
$ sudo --help      # a quick summary of the options

10. Samenvatting

Het sudo-commando is kort, maar het regelt de belangrijkste vraag op een Linux-systeem: wie mag als root handelen, en voor precies wat.

• sudo draait een enkel commando als een andere gebruiker, normaal root, na te vragen om je eigen wachtwoord.
• De naam lees je als "superuser do" (of "substitute user do", omdat het als elke gebruiker kan draaien).
• Het werd rond 1980 geschreven bij SUNY/Buffalo en wordt nu onderhouden als het Sudo-project; Ubuntu maakte het de standaardmanier om root te krijgen.
• Zet het voor een commando; gebruik sudo !! om het laatste als root te herhalen, en -u om als een specifieke gebruiker te draaien.
• Een timestamp onthoudt je 15 minuten; -v ververst het en -k vergeet het.
• Toegang komt van een groep, sudo op Debian en Ubuntu, wheel op Red Hat en Fedora.
• Het beleid leeft in /etc/sudoers en losse bestanden onder /etc/sudoers.d/, altijd bewerkt met visudo.
• Gebruik sudoedit om bestanden van root veilig te wijzigen, en -i of -s alleen als je echt een root-shell nodig hebt.
• sudo werkt omdat zijn binary setuid root is; daarom moet het ook eigendom van root blijven en up-to-date zijn.
• Onder de motorkap zet het de real, effective en saved user-ID's van het proces op de doelgebruiker, en controleert het je wachtwoord via PAM.
• Elk gebruik wordt gelogd, wat een van de grootste voordelen is boven inloggen als root.

Dit is de naslag die het bewaren waard is:

sudo command             run one command as root
sudo -u user command     run it as another user
sudo !!                  repeat the previous command as root
sudo -l                  list what you are allowed to run
sudo -v                  refresh the 15-minute timestamp
sudo -k                  forget the timestamp now
sudo -i                  a full root login shell
sudoedit /etc/file       edit a root-owned file safely
echo x | sudo tee file   write to a root-owned file
sudo visudo              edit the sudoers policy safely
sudo usermod -aG sudo u  grant a user sudo rights (Debian/Ubuntu)

sudo goed voor elkaar hebben is een van de stille fundamenten van een veilige server: het verschil tussen een machine waar elke actie is afgebakend en gelogd, en een waar een enkel gedeeld root-wachtwoord rondzweeft. Als je niet zeker weet of de sudo-regels van je server te veel toekennen, of je wilt automatisering zonder wachtwoord opzetten zonder een gat te slaan, loont het de moeite om iemand het hele beleid goed te laten nakijken voordat een gemakkelijke NOPASSWD: ALL het incident van morgen wordt.