Sujet : sudo
-
Politique sudo en fichiers drop-in dans /etc/sudoers.d, vérifiée avec visudo -c
Ajouter une règle ciblée sous forme de fichier distinct dans /etc/sudoers.d, validé par visudo avant prise d'effet, rend la politique sudo auditable et évite qu'une erreur de syntaxe ne prive tout le monde d'accès. Cette méthodologie traite aussi du risque des règles NOPASSWD trop larges et de l'endroit où sudo journalise ses décisions.
-
Exécuter une commande sous un autre utilisateur depuis un script : sudo -u, runuser, su -c et -Credential de PowerShell
sudo -u, runuser et su -c exécutent une commande avec un autre identifiant d'utilisateur et de groupe, mais diffèrent selon qu'ils exigent ou non le mot de passe de la cible, qu'ils chargent ou non un environnement de connexion, et selon les personnes autorisées à les appeler ; Start-Process et les cmdlets de remoting de PowerShell utilisent un objet -Credential, et aucun de ces outils ne doit recevoir de mot de passe par un tube ou un argument de ligne de commande.
-
Comparaison des mécanismes d'élévation de privilèges : sudo, doas, UAC, runas et RBAC sous AIX — et comment détecter l'élévation
sudo, doas, l'UAC de Windows et le groupe admin de macOS répondent à la même question — cette session peut-elle agir en administrateur ? — avec des mécanismes différents, et chacun permet à un script de vérifier la réponse de façon spécifique avant de tenter une action privilégiée.
Lisible par machine : JSON