Manpages

•

[訳 注 ]: 原 文 の 著 者 は 、

sudoers セ キ ュ リ テ ィ ポ リ シ ー の 設 定 の 単 位 と な る

[訳 注 ]: こ こ で 言 う コ ン テ ナ

(容 器 、 入 れ も の ) と は 、 デ ー タ を 格 納 す る た め

1.

nisNetgroupTriple (ユ ー ザ 、 ホ ス ト 、 NIS ド メ イ ン を 含 む ) を 持 っ た す べ て の nisNetgroup レ コ ー ド と 照 合 を 行 う 。 こ の 問 い 合 わ せ で は 、 nisNetgroupTriple エ ン ト リ ー の ホ ス ト 名 が 長 い 形 式 で も 短 い 形 式 で も 、 あ る い は 、 タ プ ル に ホ ス ト 名 が 指 定 さ れ て い な く て も 、 マ ッ チ す る こ と に な る 。 問 い 合 わ せ に NIS ド メ イ ン が セ ッ ト さ れ て い る 場 合 に マ ッ チ す る の は 、 そ の ド メ イ ン を 含 む か 、 あ る い は 、 ド メ イ ン の 指 定 が な い エ ン ト リ だ け で あ る 。 NIS ド メ イ ン が セ ッ ト さ れ て い な い 場 合 は 、 ワ イ ル ド カ ー ド が 使 用 さ れ 、 ど ん な ド メ イ ン 名 に も マ ッ チ す る こ と に な る が 、 LDAP サ ー バ の 中 に は 、 使 用 し て い る NIS ス キ ー マ が 、 nisNetgroupTriple に 対 す る ワ イ ル ド カ ー ド を サ ポ ー ト し て い な い も の が あ る こ と に 留 意 し て い た だ き た い 。

2.

問 い 合 わ せ を 繰 り 返 し て 行 い 、 す で に マ ッ チ し た レ コ ー ド を 指 す memberNisNetgroup エ ン ト リ が 、 入 れ 子 の よ う に 使 わ れ て い る nisNetgroup レ コ ー ド が あ れ ば 、 そ う し た も の を 見 つ け 出 す 。 多 数 の ネ ッ ト グ ル ー プ を 持 つ サ イ ト で は 、 NETGROUP_BASE を 使 用 す る と 、 sudo の 実 行 速 度 を 大 幅 に 向 上 さ せ る こ と が で き る 。

LDAP を 使 う 場 合 と 使 わ な い 場 合 の sudoers セ キ ュ リ テ ィ ポ リ シ ー 設 定 の 相 違 点
LDAP を 使 用 し た 場 合 は 、 sudoers セ キ ュ リ テ ィ ポ リ シ ー 設 定 の 処 理 方 法 に /etc/sudoers の 場 合 と は 微 妙 な 違 い が い く つ か あ る 。 た ぶ ん 最 大 の 違 い は 、 RFC に 書 い て あ る と お り 、 LDAP の 順 序 づ け は 不 定 な の で 、 属 性 や エ ン ト リ が 何 ら か の 決 ま っ た 順 序 で 返 さ れ る こ と を 期 待 で き な い こ と だ ろ う 。 そ れ で も 、 個 々 の エ ン ト リ に 割 り 振 ら れ る 順 番 に つ い て は 、 sudoOrder に よ っ て コ ン ト ロ ー ル す る こ と が で き る 。 だ が 、 あ る 特 定 の エ ン ト リ 内 で の 属 性 の 順 番 に つ い て は 、 そ れ を 確 定 す る 方 法 は 存 在 し な い の だ 。 も っ と も 、 あ る エ ン ト リ ー に コ マ ン ド に 関 し て 相 反 す る ル ー ル が あ る 場 合 は 、 否 定 す る 方 が 優 先 さ れ る 。 い わ ゆ る パ ラ ノ イ ア 的 動 作 で あ る (そ れ が 一 番 す っ き り し た マ ッ チ だ と は か ぎ ら な い が )。 例 を 挙 げ て み よ う 。

# /etc/sudoers の 場 合 :
# shell 以 外 の す べ て の コ マ ン ド を 許 可 す る
johnny ALL=(root) ALL,!/bin/sh
# 次 の 設 定 は 、 ALL が 最 後 に マ ッ チ す る の で 、 常 に す べ て の
# コ マ ン ド を 許 可 す る こ と に な る
puddles ALL=(root) !/bin/sh,ALL

# 上 記 の johnny に 相 当 す る LDAP の エ ン ト リ :
# shell 以 外 の す べ て の コ マ ン ド を 許 可 す る
dn: cn=role1,ou=Sudoers,dc=my−domain,dc=com
objectClass: sudoRole
objectClass: top
cn: role1
sudoUser: johnny
sudoHost: ALL
sudoCommand: ALL
sudoCommand: !/bin/sh

# 上 記 の puddles に 相 当 す る LDAP の エ ン ト リ :
# ALL が 最 後 に 指 定 さ れ て い る が 、 LDAP の コ ー ド で は 、
# よ り パ ラ ノ イ ア 的 な 方 を 、 指 定 さ れ た 設 定 と 見 な す よ う に な っ て
# い る た め 、 こ れ も ま た role1 と 同 じ よ う に 動 作 す る こ と に
# 注 意 し て い た だ き た い
dn: cn=role2,ou=Sudoers,dc=my−domain,dc=com
objectClass: sudoRole
objectClass: top
cn: role2
sudoUser: puddles
sudoHost: ALL
sudoCommand: !/bin/sh
sudoCommand: ALL も う 一 つ の 相 違 は 、 Host、 User、 Runas に つ い て の 否 定 は 、 現 在 の と こ ろ 無 視 さ れ る と い う こ と だ 。 た と え ば 、 以 下 に 挙 げ る よ う な 属 性 は 期 待 ど お り に 動 作 し な い 。

# joe 以 外 の 全 員 と マ ッ チ し な い ど こ ろ か 、
# 誰 に も マ ッ チ し な い
sudoUser: !joe

# joe 以 外 の 全 員 と マ ッ チ し な い ど こ ろ か 、
# joe を 含 む 全 員 に マ ッ チ し て し ま う
sudoUser: ALL
sudoUser: !joe

# web01 以 外 の す べ て と マ ッ チ し な い ど こ ろ か 、
# web01 を 含 む す べ て の ホ ス ト に マ ッ チ し て し ま う
sudoHost: ALL
sudoHost: !web01

sudo 用 の ス キ ー マ
sudo の LDAP サ ポ ー ト を 利 用 す る た め に は 、 お 使 い の LDAP サ ー バ に sudo 用 の ス キ ー マ を イ ン ス ト ー ル し な け れ ば な ら な い 。 そ し て 、 sudoUser 属 性 の 索 引 を 必 ず 作 成 し て お く 。 た ぶ ん 、 sudo の 配 布 物 中 に は 三 種 類 の ス キ ー マ が 入 っ て い る と 思 う 。 す な わ ち OpenLDAP サ ー バ 用 (schema.OpenLDAP)、 Netscape デ ィ レ ク ト リ サ ー バ の 流 れ を 汲 む サ ー バ 用 (schema.iPlanet)、 Microsoft Active Directory 用 (schema.ActiveDirectory) の ス キ ー マ で あ る 。

OpenLDAP 用 の 形 式 に し た sudo の ス キ ー マ は 、 「 用 例 」 セ ク シ ョ ン に も 記 載 し て お い た 。

ldap.conf の 設 定
sudo は LDAP に 関 す る 設 定 を 知 る た め に /etc/ldap.conf を 読 み 込 む 。 通 例 、 こ の フ ァ イ ル は 、 LDAP に 対 応 し て い る さ ま ざ ま な ク ラ イ ア ン ト の 間 で 共 有 さ れ て い る 。 そ れ 故 、 設 定 の 大 部 分 は sudo 専 用 で は な い 。 注 意 す べ き は 、 sudo は /etc/ldap.conf を 独 自 に 解 析 し て お り 、 ldap.conf(5) の マ ニ ュ ア ル で 説 明 さ れ て い る も の と は 異 な る オ プ シ ョ ン を サ ポ ー ト し て い る こ と が あ る と い う こ と だ 。 ldap.conf の パ ス は 、 sudo.conf(5) フ ァ イ ル で プ ラ グ イ ン に 対 す る 引 き 数 ldap_conf を 使 用 す れ ば 、 変 更 す る こ と が で き る (訳 注 : sudoers ポ リ シ ー ・ プ ラ グ イ ン に 対 し て 指 定 で き る 引 き 数 に つ い て は 、 sudoers(5) の マ ニ ュ ア ル の 「 sudoers ポ リ シ ー ・ プ ラ グ イ ン を 使 う た め の sudo.conf の 設 定 」 セ ク シ ョ ン に 説 明 が あ る )。 も う ひ と つ 注 意 し て い た だ き た い の は 、 OpenLDAP ラ イ ブ ラ リ を 使 っ て い る シ ス テ ム で は 、 /etc/openldap/ldap.conf や ユ ー ザ の .ldaprc フ ァ イ ル で 指 定 し て い る デ フ ォ ル ト 値 が 使 用 さ れ な い こ と で あ る 。 す な わ ち 、 /etc/ldap.conf に 明 示 的 に 記 載 さ れ 、 か つ sudo で サ ポ ー ト さ れ て い る オ プ シ ョ ン の み が 使 用 さ れ る 。 設 定 オ プ シ ョ ン を 以 下 に 大 文 字 で 列 挙 す る が 、 解 析 さ れ る と き は 大 文 字 小 文 字 は 区 別 さ れ な い 。 パ ウ ン ド 記 号 (’#’) を 使 用 す れ ば 、 以 下 は コ メ ン ト で あ る と 示 す こ と が で き る 。 す な わ ち 、 コ メ ン ト の 印 と 、 そ れ に 続 く い か な る テ キ ス ト も 、 行 末 に 至 る ま で 、 無 視 さ れ る こ と に な る 。 長 い 行 は 、 行 末 に バ ッ ク ス ラ ッ シ ュ (’\’) を 置 け ば 、 継 続 す る こ と が で き る 。 行 頭 の 空 白 (white space)は 、 継 続 記 号 を 使 用 し て い る 場 合 で も 、 行 頭 か ら 取 り 除 か れ る こ と に 注 意 し て い た だ き た い 。
BIND_TIMELIMIT seconds

BIND_TIMELIMIT パ ラ メ ー タ で は 、 LDAP サ ー バ に 接 続 し よ う と す る と き の 待 ち 時 間 を 秒 数 で 指 定 す る 。 URI や HOST が 複 数 指 定 さ れ て い る 場 合 は 、 そ の 時 間 だ け 待 っ て か ら 、 リ ス ト 中 の 次 の サ ー バ に 接 続 を 試 み る こ と に な る 。

BINDDN DN

BINDDN パ ラ メ ー タ で は 、 誰 の 名 前 で LDAP の 操 作 を 行 う か を 、 識 別 名 (DN) を 使 っ て 指 定 す る 。 こ れ が 指 定 さ れ て い な い 場 合 、 LDAP の 操 作 は anonymous の 名 前 で 実 行 さ れ る 。 LDAP サ ー バ は 、 た い て い デ フ ォ ル ト で anonymous に よ る ア ク セ ス を 許 可 し て い る も の で あ る 。

BINDPW secret

BINDPW パ ラ メ ー タ で は 、 LDAP の 操 作 を 行 う と き に 使 用 す る パ ス ワ ー ド を 指 定 す る 。 通 常 、 こ の パ ラ メ ー タ は 、 BINDDN パ ラ メ ー タ と 組 み 合 わ せ て 使 用 す る 。 secret は 、 プ レ ー ン テ キ ス ト の パ ス ワ ー ド で も よ く 、 "base64:" と い う 接 頭 辞 付 き の 、 base64 で エ ン コ ー ド し た 文 字 列 で も よ い 。 た と え ば 、 次 の よ う な も の だ 。

BINDPW base64:dGVzdA== プ レ ー ン テ キ ス ト の パ ス ワ ー ド を 使 用 す る 場 合 、 パ ス ワ ー ド は 引 用 符 を 付 け な い 単 な る 文 字 列 に す る べ き だ 。 プ レ ー ン テ キ ス ト の パ ス ワ ー ド 中 に は 、 コ メ ン ト 文 字 (’#’) が あ っ て は な ら な い 。 ま た 、 バ ッ ク ス ラ ッ シ ュ (’\’) に よ る 特 殊 文 字 の エ ス ケ ー プ は サ ポ ー ト さ れ て い な い 。

DEREF never/searching/finding/always 検 索 を 行 う と き に 、 alias の 参 照 展 開 を ど う す る か を 指 定 す る 。 こ の オ プ シ ョ ン に つ い て の 詳 し い 説 明 は 、 ldap.conf(5) の マ ニ ュ ア ル に あ る 。
HOST name[:port] ...

URI パ ラ メ ー タ (下 記 参 照 ) が 指 定 さ れ て い な い 場 合 は 、 HOST パ ラ メ ー タ で 指 定 す る 空 白 (white space) で 区 切 っ た リ ス ト が 、 接 続 す る LDAP サ ー バ に な る 。 各 ホ ス ト に は コ ロ ン (’:’) に 続 け て 、 ポ ー ト 番 号 を 書 い て も よ い 。 HOST パ ラ メ ー タ は 非 推 奨 で あ り 、 URI で 指 定 す る 方 が 望 ま し い 。 こ の パ ラ メ ー タ が あ る の は 、 後 方 互 換 の た め で あ る 。

KRB5_CCNAME file name リ モ ー ト ・ サ ー バ に 対 し て 認 証 を す る と き に 使 用 す る Kerberos 5 資 格 証 明 キ ャ ッ シ ュ の パ ス 。 こ の オ プ シ ョ ン は 、 SASL 認 証 (下 記 参 照 ) を 使 用 す る と き し か 意 味 を 持 た な い 。
LDAP_VERSION number サ ー バ に 接 続 す る と き に 使 用 す る LDAP プ ロ ト コ ル の バ ー ジ ョ ン 。 デ フ ォ ル ト の 値 は 、 プ ロ ト コ ル バ ー ジ ョ ン 3 で あ る 。
NETGROUP_BASE base

LDAP で ネ ッ ト グ ル ー プ の 問 い 合 わ せ を 行 う と き に 使 用 す る ベ ー ス DN を 指 定 す る 。 ド メ イ ン が example.com な ら ば 、 た い て い ou=netgroup,dc=example,dc=com と い う 形 に な る 。 NETGROUP_BASE を 複 数 回 指 定 し て も よ い 。 そ の 場 合 は 、 指 定 さ れ た 順 番 で 問 い 合 わ せ が 行 わ れ る こ と に な る 。 こ の オ プ シ ョ ン を 使 用 す る と 、 LDAP 経 由 で 直 接 ユ ー ザ の ネ ッ ト グ ル ー プ を 問 い 合 わ せ る こ と が で き る 。 そ う す る 方 が 、 sudoRole オ ブ ジ ェ ク ト の う ち で ’+’ と い う 接 頭 辞 を 持 つ sudoUser を 含 ん で い る も の を す べ て 取 得 す る よ り も 、 た い て い の 場 合 動 作 が 高 速 に な る 。 LDAP サ ー バ に よ っ て は 、 nisNetgroup オ ブ ジ ェ ク ト を そ の nisNetgroupTriple メ ン バ に よ っ て 検 索 で き る よ う に す る た め に は 、 使 用 し て い る NIS ス キ ー マ に 変 更 を 加 え る 必 要 が あ る も の も 存 在 す る 。 OpenLDAP の slapd の 場 合 は 、 nisNetgroupTriple ア ト リ ビ ュ ー ト に 以 下 の 変 更 を 加 え な け れ ば な ら な い 。

attributetype ( 1.3.6.1.1.1.1.14 NAME ’nisNetgroupTriple’
DESC ’Netgroup triple’
EQUALITY caseIgnoreIA5Match
SUBSTR caseIgnoreIA5SubstringsMatch
SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

NETGROUP_SEARCH_FILTER ldap_filter

sudo が LDAP で ネ ッ ト グ ル ー プ の 問 い 合 わ せ を 行 う と き 、 ど ん な 情 報 を 返 す か を 限 定 す る LDAP の フ ィ ル タ ー 。 通 常 ldap_filter は 、 attribute=value と か (&(attribute=value)(attribute2=value2)) と い う 形 を 取 る 。 デ フ ォ ル ト の 検 索 フ ィ ル タ ー は 、 objectClass=nisNetgroupで あ る 。 ldap_filter の 指 定 を 省 略 す る と 、 検 索 フ ィ ル タ ー が 全 く 使 わ れ な い こ と に な る 。 こ の オ プ シ ョ ン は 、 LDAP で 直 接 ネ ッ ト グ ル ー プ の 問 い 合 わ せ を 行 う と き し か 効 果 を 持 た な い 。

NETWORK_TIMEOUT seconds

BIND_TIMELIMIT の 別 名 。 OpenLDAP と の 互 換 の た め に あ る 。

PORT port_number

URI パ ラ メ ー タ が 指 定 さ れ ず 、 HOST パ ラ メ ー タ で も ポ ー ト が 指 定 さ れ て い な い と き は 、 PORT パ ラ メ ー タ が LDAP サ ー バ に 接 続 す る と き の デ フ ォ ル ト の ポ ー ト を 示 す こ と に な る 。 PORT パ ラ メ ー タ が 使 用 さ れ て い な い 場 合 、 デ フ ォ ル ト の ポ ー ト は LDAP で は 389 番 、 LDAP over TLS (SSL) で は 636 番 で あ る 。 PORT パ ラ メ ー タ は 非 推 奨 で あ り 、 URI で 指 定 す る 方 が 望 ま し い 。 こ の パ ラ メ ー タ は 後 方 互 換 の た め に の み 存 在 し て い る 。

ROOTBINDDN DN

ROOTBINDDN パ ラ メ ー タ で は 、 sudoers セ キ ュ リ テ ィ ポ リ シ ー 設 定 の 問 い 合 わ せ の よ う な 、 特 権 的 な LDAP 操 作 を す る と き 、 誰 の 名 前 で 行 う か を 識 別 名 (DN) を 使 っ て 指 定 す る 。 そ の 名 前 に 対 応 す る パ ス ワ ー ド は 、 sudo.conf(5) の 中 で プ ラ グ イ ン に 対 す る 引 き 数 ldap_secret に よ っ て パ ス を 指 定 さ れ た フ ァ イ ル に 書 き 込 ん で お く べ き だ 。 こ の パ ス の デ フ ォ ル ト は /etc/ldap.secret で あ る (訳 注 : sudoers プ ラ グ イ ン に 対 す る 引 き 数 ldap_secret に つ い て は 、 sudoers(5) の マ ニ ュ ア ル に 記 述 が あ る )。 こ の パ ラ メ ー タ が 設 定 さ れ て い な い 場 合 は 、 BINDDN で 指 定 し た 名 前 が あ る な ら ば 、 そ れ が 使 用 さ れ る 。

ROOTUSE_SASL on/true/yes/off/false/no

ROOTUSE_SASL を 有 効 に す る と 、 sudo の よ う な 特 権 的 な プ ロ セ ス か ら LDAP サ ー バ に 接 続 す る と き に SASL 認 証 が 可 能 に な る 。

SASL_AUTH_ID identity

LDAP サ ー バ に 接 続 す る と き に 使 用 す る SASL ユ ー ザ 名 。 デ フ ォ ル ト で は 、 sudo は anonymous 接 続 を 使 用 す る 。 こ の オ プ シ ョ ン は 、 SASL 認 証 を 使 用 す る と き し か 意 味 を 持 た な い 。

SASL_SECPROPS none/properties

SASL セ キ ュ リ テ ィ ・ プ ロ パ テ ィ を 指 定 す る 。 プ ロ パ テ ィ な し な ら ば 、 none で あ る 。 詳 細 に つ い て は 、 SASL プ ロ グ ラ マ ー ズ ・ マ ニ ュ ア ル を 参 照 す る こ と 。 こ の オ プ シ ョ ン は 、 SASL 認 証 を 使 用 す る と き し か 意 味 を 持 た な い 。

SSL on/true/yes/off/false/no

SSL パ ラ メ ー タ が on, true, yes に な っ て い る と 、 LDAP サ ー バ と 通 信 す る 際 に 、 常 に TLS (SSL) の 暗 号 化 を 使 用 す る こ と に な る 。 普 通 、 そ の た め に は 、 636 番 ポ ー ト (ldaps) で サ ー バ に 接 続 し て い な け れ ば な ら な い 。

SSL start_tls

SSL パ ラ メ ー タ を start_tls に 設 定 す る と 、 LDAP サ ー バ へ の 接 続 を 平 文 で 開 始 し 、 バ イ ン ド 操 作 の た め に 認 証 情 報 を 送 信 す る 直 前 に 、 TLS の 暗 号 化 を 始 め る こ と に な る 。 こ れ に は 、 暗 号 化 さ れ た 通 信 の た め に 専 用 の ポ ー ト を 必 要 と し な い と い う 長 所 が あ る 。 こ の パ ラ メ ー タ を サ ポ ー ト し て い る の は 、 OpenLDAP サ ー バ や Tivoli デ ィ レ ク ト リ ・ サ ー バ の よ う な start_tls 拡 張 に 対 応 し て い る LDAP サ ー バ の み で あ る 。

SUDOERS_BASE base

sudo が LDAP の 問 い 合 わ せ を 行 う と き に 使 用 す る ベ ー ス DN を 指 定 す る 。 ド メ イ ン が example.com な ら ば 、 普 通 ou=SUDOers,dc=example,dc=com と い う 形 に な る 。 SUDOERS_BASE を 複 数 回 指 定 し て も よ い 。 そ の 場 合 は 、 指 定 さ れ た 順 番 で 問 い 合 わ せ が 行 わ れ る こ と に な る 。

SUDOERS_DEBUG debug_level

sudo が LDAP の 問 い 合 わ せ を す る と き の デ バ ッ グ レ ベ ル を 決 め る 。 デ バ ッ ク 情 報 の 出 力 先 は 標 準 エ ラ ー で あ る 。 値 を 1 に す る と 、 多 か ら ず 少 な か ら ず ほ ど ほ ど の デ バ ッ ク 情 報 が 表 示 さ れ る 。 値 を 2 に す る と 、 マ ッ チ の 結 果 そ の も の も 出 力 さ れ る 。 実 用 環 境 で は 、 こ の パ ラ メ ー タ を 設 定 す る べ き で は な い 。 ユ ー ザ が 余 計 な 情 報 に 混 乱 し か ね な い か ら だ 。

SUDOERS_DEBUG パ ラ メ ー タ は 非 推 奨 で あ り 、 将 来 の リ リ ー ス で は 廃 止 さ れ る こ と に な る 。 今 で は 同 じ 情 報 が 、 sudo の デ バ ッ グ 用 フ レ ー ム ワ ー ク を 通 し て ロ グ に 記 録 さ れ る よ う に な っ て い る 。 debug_level の 値 に 1 や 2 を 指 定 す る 代 わ り に 、 サ ブ シ ス テ ム と し て "ldap" を 使 用 し 、 重 大 度 (priority) に そ れ ぞ れ diag や info を 指 定 す れ ば よ い の だ 。 sudo の デ バ ッ グ を 設 定 す る 方 法 に つ い て 詳 細 を 知 り た け れ ば 、 sudo.conf(5) の マ ニ ュ ア ル を ご 覧 に な る と よ い (訳 注 : sudoers(5) の マ ニ ュ ア ル の 「 デ バ ッ ギ ン グ 」 セ ク シ ョ ン も 参 照 )。

SUDOERS_SEARCH_FILTER ldap_filter

sudo が LDAP の 問 い 合 わ せ を 行 う と き 、 ど ん な 情 報 を 返 す か を 限 定 す る LDAP の フ ィ ル タ ー 。 通 常 ldap_filter は 、 attribute=value と か (&(attribute=value)(attribute2=value2)) と い う 形 を 取 る 。 デ フ ォ ル ト の 検 索 フ ィ ル タ ー は 、 objectClass=sudoRole で あ る 。 ldap_filter の 指 定 を 省 略 す る と 、 検 索 フ ィ ル タ ー が 全 く 使 わ れ な い こ と に な る 。

SUDOERS_TIMED on/true/yes/off/false/no 属 性 sudoNotBefore や sudoNotAfter を 評 価 す る か 、 し な い か を 指 定 す る 。 こ の 二 つ の 属 性 に よ っ て 日 時 制 限 の あ る sudoers セ キ ュ リ テ ィ ポ リ シ ー 設 定 の エ ン ト リ を 実 現 し て い る 。
TIMELIMIT seconds

TIMELIMIT パ ラ メ ー タ で は 、 LDAP の 問 い 合 わ せ に 対 し て 応 答 が 返 っ て く る ま で の 待 ち 時 間 を 秒 数 で 指 定 す る 。

TIMEOUT seconds

TIMEOUT パ ラ メ ー タ で は 、 様 々 な LDAP API か ら 応 答 が 返 っ て く る ま で の 待 ち 時 間 を 秒 数 で 指 定 す る 。

TLS_CACERT file name

TLS_CACERTFILE の 別 名 。 OpenLDAP と の 互 換 の た め に あ る 。

TLS_CACERTFILE file name 認 証 局 の 証 明 書 を 一 つ に ま と め た フ ァ イ ル の パ ス 。 た と え ば 、 /etc/ssl/ca−bundle.pem と い っ た フ ァ イ ル で あ り 、 正 当 な も の だ と ク ラ イ ア ン ト が 認 識 し て い る 、 す べ て の 認 証 局 の 証 明 書 が そ こ に 入 っ て い る 。 こ の オ プ シ ョ ン を サ ポ ー ト し て い る の は 、 OpenLDAP ラ イ ブ ラ リ だ け で あ る 。 Netscape 由 来 の LDAP ラ イ ブ ラ リ は 、 認 証 局 と ク ラ イ ア ン ト 、 両 方 の 証 明 書 に 対 し て 、 同 一 の 証 明 書 デ ー タ ベ ー ス を 使 用 す る (TLS_CERT を 参 照 )。
TLS_CACERTDIR directory

TLS_CACERTFILE に 似 て い る が 、 フ ァ イ ル で は な く 、 た と え ば /etc/ssl/certs と い っ た デ ィ レ ク ト リ で あ り 、 認 証 局 の 証 明 書 が 1 認 証 局 1 フ ァ イ ル の 形 で そ こ に 入 っ て い る 。 TLS_CACERTDIR で 指 定 し た デ ィ レ ク ト リ は 、 TLS_CACERTFILE の 後 で チ ェ ッ ク さ れ る 。 こ の オ プ シ ョ ン を サ ポ ー ト し て い る の は 、 OpenLDAP ラ イ ブ ラ リ だ け で あ る 。

TLS_CERT file name ク ラ イ ア ン ト の 証 明 書 が 入 っ て い る フ ァ イ ル の パ ス 。 こ の 証 明 書 は 、 LDAP サ ー バ に 対 す る ク ラ イ ア ン ト の 認 証 に 使 用 で き る 。 証 明 書 の タ イ プ は 、 利 用 す る LDAP ラ イ ブ ラ リ に よ っ て 異 な っ て い る 。

OpenLDAP:

tls_cert /etc/ssl/client_cert.pem

Netscape 由 来 :

tls_cert /var/ldap/cert7.db

Tivoli デ ィ レ ク ト リ ・ サ ー バ : 使 用 し な い 。 TLS_KEY で 指 定 す る キ ー ・ デ ー タ ベ ー ス に 、 キ ー と 証 明 書 の 両 方 が 入 っ て い る 。

Netscape 由 来 の ラ イ ブ ラ リ を 使 う 場 合 は 、 こ の フ ァ イ ル に 認 証 局 の 証 明 書 も 入 れ る こ と が で き る 。

TLS_CHECKPEER on/true/yes/off/false/no

TLS_CHECKPEER が 有 効 に な っ て い る と 、 LDAP サ ー バ の TLS 証 明 書 が 正 当 か ど う か チ ェ ッ ク が 行 わ れ る 。 LDAP サ ー バ の 証 明 書 が 正 当 で あ る こ と を 確 認 で き な い 場 合 (た い て い は 、 署 名 し て い る 認 証 局 が 未 知 (unknown) で あ る こ と が 理 由 だ )、 sudo は そ の サ ー バ に 接 続 す る こ と が で き な い 。 TLS_CHECKPEER が 無 効 に な っ て い る 場 合 は 、 チ ェ ッ ク が 行 わ れ な い 。 こ の チ ェ ッ ク を や ら な い こ と に す る と 、 サ ー バ ー の 身 元 の 正 真 性 を 確 認 で き な い の で 、 中 間 者 攻 撃 の 可 能 性 が 生 じ る こ と に 気 を つ け て い た だ き た い 。 可 能 な ら ば 、 認 証 局 の 証 明 書 は 、 そ の 正 当 性 の チ ェ ッ ク が で き る よ う に 、 手 元 の マ シ ン に イ ン ス ト ー ル し て お く べ き で あ る 。 こ の オ プ シ ョ ン は 、 Tivoli デ ィ レ ク ト リ ・ サ ー バ の LDAP ラ イ ブ ラ リ で は サ ポ ー ト さ れ て い な い 。

TLS_KEY file name

TLS_CERT で 指 定 し た 証 明 書 に 対 応 す る 、 秘 密 鍵 が 入 っ て い る フ ァ イ ル の パ ス 。 こ の 秘 密 鍵 は パ ス ワ ー ド で プ ロ テ ク ト さ れ て い て は な ら な い 。 鍵 の タ イ プ は 利 用 す る LDAP ラ イ ブ ラ リ に よ っ て 異 な っ て い る 。
OpenLDAP:

tls_key /etc/ssl/client_key.pem

Netscape 由 来 :

tls_key /var/ldap/key3.db

Tivoli デ ィ レ ク ト リ ・ サ ー バ :

tls_key /usr/ldap/ldapkey.kdb

Tivoli LDAP ラ イ ブ ラ リ を 使 用 す る 場 合 は 、 こ の フ ァ イ ル に 認 証 局 や ク ラ イ ア ン ト の 証 明 書 も 入 れ る こ と が で き る 。 ま た 、 暗 号 化 す る こ と も で き る 。

TLS_CIPHERS cipher list

TLS_CIPHERS パ ラ メ ー タ を 使 用 す る と 、 管 理 者 が TLS (SSL) 接 続 に 使 用 可 能 な 暗 号 ア ル ゴ リ ズ ム を 限 定 す る こ と が で き る 。 有 効 な 暗 号 の リ ス ト に つ い て は 、 OpenLDAP や Tivoli デ ィ レ ク ト リ ・ サ ー バ の マ ニ ュ ア ル を 参 照 し て い た だ き た い 。 Netscape 由 来 の ラ イ ブ ラ リ は 、 こ の オ プ シ ョ ン を サ ポ ー ト し て い な い 。

TLS_KEYPW secret

TLS_KEYPW で は 、 Tivoli デ ィ レ ク ト リ ・ サ ー バ の LDAP ラ イ ブ ラ リ を 使 っ て い る ク ラ イ ア ン ト で 、 キ ー ・ デ ー タ ベ ー ス を 復 号 す る の に 使 用 す る パ ス ワ ー ド を 指 定 す る 。 secret は 、 プ レ ー ン テ キ ス ト の パ ス ワ ー ド で も よ く 、 "base64:" と い う 接 頭 辞 付 き の 、 base64 で エ ン コ ー ド し た 文 字 列 で も よ い 。 た と え ば 、 次 の よ う な も の だ 。

TLS_KEYPW base64:dGVzdA== プ レ ー ン テ キ ス ト の パ ス ワ ー ド を 使 用 す る 場 合 、 パ ス ワ ー ド は 引 用 符 を 付 け な い 単 な る 文 字 列 に す る べ き だ 。 プ レ ー ン テ キ ス ト の パ ス ワ ー ド 中 に は 、 コ メ ン ト 文 字 (’#’) が あ っ て は な ら な い 。 ま た 、 バ ッ ク ス ラ ッ シ ュ (’\’) に よ る 特 殊 文 字 の エ ス ケ ー プ は サ ポ ー ト さ れ て い な い 。 こ の オ プ シ ョ ン を 使 用 す る の な ら ば 、 /etc/ldap.conf を 誰 に で も 読 め る 状 態 に し て は い け な い 。 さ も な い と 、 パ ス ワ ー ド を 公 開 し て し ま う こ と に な る 。 パ ス ワ ー ド の 公 開 を 避 け る 別 の 方 法 と し て は 、 stash file を 使 用 す る こ と も 可 能 だ 。 そ う す れ ば 、 パ ス ワ ー ド を 暗 号 化 し た 形 で 格 納 す る こ と が で き る (下 記 参 照 )。

TLS_KEYPW が 指 定 さ れ て い な い 場 合 、 stash file が 存 在 す れ ば 、 そ れ を 使 用 す る こ と に な る 。 stash file は 、 TLS_KEY で 指 定 さ れ る フ ァ イ ル と 同 じ パ ス を 持 た な け れ ば な ら な い が 、 拡 張 子 に は .kdb の 代 わ り に 、 .sth を 使 わ な け れ ば な ら な い 。 た と え ば 、 ldapkey.sth と い っ た 具 合 だ 。 Tivoli デ ィ レ ク ト リ ・ サ ー バ 出 荷 時 の デ フ ォ ル ト の ldapkey.kdb は 、 ssl_password と い う パ ス ワ ー ド を 使 っ て 暗 号 化 さ れ て い る 。 gsk8capicmd と い う ユ ー テ ィ リ テ ィ を 使 用 す れ ば 、 キ ー ・ デ ー タ ベ ー ス の 管 理 と 、 stash file の 作 成 を 行 う こ と が で き る 。 こ の オ プ シ ョ ン を サ ポ ー ト し て い る の は 、 Tivoli LDAP ラ イ ブ ラ リ だ け で あ る 。

TLS_RANDFILE file name

TLS_RANDFILE で は 、 random デ バ イ ス を 持 っ て い な い シ ス テ ム の た め に エ ン ト ロ ピ ー ・ ソ ー ス の パ ス を 指 定 す る 。 こ れ は 通 例 、 prngd や egd と 組 み 合 わ せ て 使 用 す る も の だ 。 こ の オ プ シ ョ ン を サ ポ ー ト し て い る の は 、 OpenLDAP ラ イ ブ ラ リ だ け で あ る 。

URI ldap[s]://[hostname[:port]] ... 接 続 す る 一 個 以 上 の LDAP サ ー バ の URI を 、 空 白 (white space) で 区 切 っ た リ ス ト の 形 で 指 定 す る 。 プ ロ ト コ ル は ldap と ldaps の ど ち ら で も よ い 。 後 者 は TLS (SSL) 暗 号 化 に 対 応 し て い る サ ー バ の 場 合 で あ る 。 ポ ー ト を 指 定 し な い と き の デ フ ォ ル ト は 、 ldap:// で は 389 番 ポ ー ト 、 ldaps:// で は 636 番 ポ ー ト で あ る 。 hostname を 一 つ も 指 定 し な い と 、 sudo は localhost に 接 続 す る こ と に な る 。 URI の 行 が 二 行 以 上 あ る 場 合 は 、 URI の 行 に 複 数 の エ ン ト リ が あ る と き と 同 様 に 処 理 さ れ る 。 OpenSSL ラ イ ブ ラ リ を 使 用 し て い る シ ス テ ム の み が 、 ldap:// と ldaps:// 両 方 の URI を 混 ぜ て 使 う こ と に 対 応 し て い る 。 た い て い の 商 用 Unix で は Netscape 由 来 の ラ イ ブ ラ リ や Tivoli LDAP ラ イ ブ ラ リ が 使 用 さ れ て い る が 、 そ う し た ラ イ ブ ラ リ は ど ち ら か 一 方 に 対 応 す る こ と し か で き な い 。
USE_SASL on/true/yes/off/false/no

LDAP サ ー バ が SASL 認 証 を サ ポ ー ト し て い る と き 、 USE_SASL を 有 効 に す る 。

ROOTSASL_AUTH_ID identity

ROOTUSE_SASL が 有 効 な と き 使 用 す る SASL ユ ー ザ 名 。 「 用 例 」 セ ク シ ョ ン に あ る ldap.conf の く だ り も 参 照 し て い た だ き た い 。

nsswitch.conf の 設 定 ビ ル ド 時 に 無 効 に し な い か ぎ り 、 sudo は ネ ー ム サ ー ビ ス ・ ス イ ッ チ ・ フ ァ イ ル /etc/nsswitch.conf を 調 べ て 、 sudoers セ キ ュ リ テ ィ ポ リ シ ー の 設 定 を 参 照 す る 順 番 を 決 め る 。 す な わ ち 、 /etc/nsswitch.conf で sudoers: と い う 文 字 列 に 始 ま る 行 を 探 し 、 そ の 行 に よ っ て 参 照 順 を 決 定 す る の で あ る 。 気 を つ け て い た だ き た い の は 、 sudo は 参 照 中 、 マ ッ チ す る 項 目 に 一 度 出 会 っ た か ら と 言 っ て 、 そ こ で 参 照 を 終 わ り に し な い こ と だ 。 後 で マ ッ チ し た も の が 前 に マ ッ チ し た も の よ り も 優 先 さ れ る の で あ る 。 以 下 の 参 照 元 が 有 効 で あ る 。

な お 、 [NOTFOUND=return] の 記 述 が あ る と 、 先 行 す る 参 照 元 に ユ ー ザ が 見 つ か ら な か っ た 場 合 、 参 照 を 中 断 す る こ と に な る 。 最 初 に LDAP を 参 照 し 、 そ の 後 で (も し 存 在 す る な ら ば ) ロ ー カ ル マ シ ン 上 の sudoers フ ァ イ ル を 調 べ る に は 、 次 の よ う に 指 定 す る 。

sudoers: ldap files ロ ー カ ル マ シ ン 上 の sudoers フ ァ イ ル を ま っ た く 無 視 す る に は 、 次 の よ う に す る 。

sudoers: ldap

/etc/nsswitch.conf フ ァ イ ル が 存 在 し な か っ た り 、 存 在 し て も sudoers の 行 が な か っ た り し た 場 合 は 、 次 の デ フ ォ ル ト 設 定 が 使 用 さ れ る 。

sudoers: files 使 用 し て い る オ ペ ー レ ー テ ィ ン グ ・ シ ス テ ム が nsswitch.conf フ ァ イ ル を 使 用 し な い 場 合 で も 、 sudo は 、 AIX の シ ス テ ム 以 外 で は (次 の セ ク シ ョ ン を 参 照 )、 /etc/nsswitch.conf を サ ポ ー ト し て い る こ と に 注 意 し て い た だ き た い 。

netsvc.conf の 設 定
AIX シ ス テ ム で は 、 /etc/nsswitch.conf で は な く 、 /etc/netsvc.conf フ ァ イ ル を 調 べ に 行 く 。 sudo と し て は 、 netsvc.conf を nsswitch.conf の バ リ エ ー シ ョ ン と し て 扱 う だ け だ 。 そ れ 故 、 上 の セ ク シ ョ ン の 記 述 の う ち 、 フ ァ イ ル の 書 式 に 関 係 の な い も の は 、 こ こ で も 当 て は ま る こ と に な る 。 最 初 に LDAP を 参 照 し 、 そ の 後 で (も し 存 在 す る な ら ば ) ロ ー カ ル マ シ ン 上 の sudoers フ ァ イ ル を 調 べ る に は 、 次 の よ う に 指 定 す る 。

sudoers = ldap, files ロ ー カ ル マ シ ン 上 の sudoers フ ァ イ ル を ま っ た く 無 視 す る に は 、 次 の よ う に す る 。

sudoers = ldap

LDAP を 正 式 の 参 照 元 と 見 な し 、 LDAP に ユ ー ザ が 見 つ か ら な か っ た と き の み 、 ロ ー カ ル の sudoers フ ァ イ ル を 使 用 す る 。

sudoers = ldap = auth, files 注 意 し て い た だ き た い が 、 上 記 の 例 に お い て 、 auth 修 飾 子 が 影 響 を 及 ぼ す の は 、 ユ ー ザ を 検 索 す る と き だ け で あ る 。 Defaults エ ン ト リ に つ い て は 、 LDAP と sudoers の 両 方 が 参 照 さ れ る 。

/etc/netsvc.conf フ ァ イ ル が 存 在 し な か っ た り 、 存 在 し て も sudoers の 行 が な か っ た り し た 場 合 は 、 次 の デ フ ォ ル ト 設 定 が 使 用 さ れ る 。

sudoers = files

sssd と の 統 合
System Security Services Daemon (SSSD) を 使 用 し て い る シ ス テ ム で 、 sudo が SSSD サ ポ ー ト を 有 効 に し て ビ ル ド さ れ て い る 場 合 は 、 LDAP の sudoers ル ー ル を キ ャ ッ シ ュ す る の に SSSD を 使 用 す る こ と が で き る 。 sudoers の 参 照 先 と し て SSSD を 使 用 す る た め に は 、 /etc/nsswitch.conf の sudoers の エ ン ト リ で ldap の 代 わ り に sssd を 使 わ ね ば な ら な い 。 な お 、 SSSD 用 の sudo の バ ッ ク エ ン ド は 、 /etc/ldap.conf フ ァ イ ル を 使 用 し な い こ と に 気 を つ け て い た だ き た い 。 SSSD と 共 に 使 用 す る と き の sudo の 設 定 に つ い て よ り 詳 し い 情 報 を お 知 り に な り た か っ た ら 、 sssd−sudo(5) を ご 覧 に な る と よ い 。

フ ァ イ ル

用 例

ldap.conf の 一 例

# URI ま た は host:port の 組 み 合 わ せ を 一 つ 以 上 指 定 す る 。
# ど ち ら も 指 定 さ れ て い な い 場 合 、 sudo は デ フ ォ ル ト の localhost と
# 389 番 ポ ー ト を 使 用 す る 。
#
#host ldapserver
#host ldapserver1 ldapserver2:390
#
# host が ポ ー ト な し で 指 定 さ れ て い る 場 合 の ポ ー ト 番 号 。
# デ フ ォ ル ト は 389 で あ る 。
#port 389
#
# URI に よ る 指 定 は 、 host と port に よ る 指 定 に 優 先 す る 。
uri ldap://ldapserver
#uri ldaps://secureldapserver
#uri ldaps://secureldapserver ldap://ldapserver
#
# LDAP サ ー バ に 接 続 し よ う と し て い る と き の 、 秒 単 位 の 待 ち 時 間 。
bind_timelimit 30
#
# LDAP に 問 い 合 わ せ を 行 っ て い る と き の 、 秒 単 位 の 待 ち 時 間 。
timelimit 30
#
# 必 ず 設 定 す る こ と 。 さ も な い と 、 sudo は LDAP を 無 視 す る こ と に な る 。
# 複 数 回 指 定 し て も よ い 。
sudoers_base ou=SUDOers,dc=example,dc=com
#
# LDAP で sudoers セ キ ュ リ テ ィ ポ リ シ ー 設 定 を 問 い 合 わ せ る 際 の
# マ ッ チ ン グ に つ い て 詳 細 情 報 を 表 示 す る 。
#sudoers_debug 2
#
# sudoers セ キ ュ リ テ ィ ポ リ シ ー 設 定 中 で 日 時 制 限 の あ る エ ン ト リ の
# サ ポ ー ト を 有 効 に す る 。
#sudoers_timed yes
#
# LDAP の 操 作 を 行 う 者 の 認 証 情 報 (設 定 す る 、 し な い は 任 意 )。
#binddn <who to search as>
#bindpw <password>
#rootbinddn <who to search as, uses /etc/ldap.secret for bindpw>
#
# LDAP プ ロ ト コ ル の バ ー ジ ョ ン 。 デ フ ォ ル ト は 3 で あ る 。
#ldap_version 3
#
# LDAP 接 続 を 暗 号 化 し た い 場 合 に 設 定 す る 。
# 通 例 、 ポ ー ト を 636 (ldaps) に す る こ と も 必 要 。
#ssl on
#
# ポ ー ト 389 を 使 用 し 、 バ イ ン ド 操 作 の た め に 認 証 情 報 が
# 送 信 さ れ る 直 前 に 、 暗 号 化 セ ッ シ ョ ン に 切 り 替 え た い 場 合 に 設 定 す る 。
# こ れ を サ ポ ー ト し て い る の は 、 OpenLDAP の よ う な start_tls 拡 張 に
# 対 応 し て い る LDAP サ ー バ だ け で あ る 。
#ssl start_tls
#
# さ ら に 以 下 の TLS 関 連 オ プ シ ョ ン を 使 う こ と で SSL/TLS 接 続 の
# 細 か い 調 整 が で き る 。
#
#tls_checkpeer yes # サ ー バ の SSL 証 明 書 の 正 当 性 を チ ェ ッ ク す る 。
#tls_checkpeer no # サ ー バ の SSL 証 明 書 の 正 当 性 を チ ェ ッ ク し な い 。
#
# tls_checkpeer を 有 効 に す る と き は 、 tls_cacertfile か
# tls_cacertdir の ど ち ら か を 指 定 す る こ と 。 tls_cacertfile や
# tls_cacertdir は OpenLDAP の 使 用 時 の み 使 え る 。
#
#tls_cacertfile /etc/certs/trusted_signers.pem
#tls_cacertdir /etc/certs
#
# /dev/random が な い シ ス テ ム で は 、 下 記 の 設 定 を PRNGD、 あ る い は
# EGD.pl と 一 緒 に 使 用 す れ ば 、 暗 号 セ ッ シ ョ ン 用 の 鍵 を 生 成 す る た め の
# 乱 数 プ ー ル の 種 を 供 給 で き る 。 こ の オ プ シ ョ ン が 使 え る の は 、
# OpenLDAP を 使 用 し て い る と き だ け で あ る 。
#
#tls_randfile /etc/egd−pool
#
# 使 用 す る 暗 号 を 限 定 す る こ と が で き る 。 ど の 暗 号 が 使 え る か に
# つ い て は 、 SSL の 文 書 を 参 照 す る こ と 。 こ の オ プ シ ョ ン が
# 使 え る の は 、 OpenLDAP を 使 用 し て い る と き だ け で あ る 。
#
#tls_ciphers <cipher−list>
#
# sudo は LDAP サ ー バ と 交 信 す る と き に 、 ク ラ イ ア ン ト の 証 明 書 を
# 提 示 す る こ と が で き る 。
# 注 意 :
# * 両 方 の 行 を 同 時 に 有 効 に す る こ と 。
# * キ ー フ ァ イ ル を パ ス ワ ー ド で プ ロ テ ク ト し て は い け な い 。
# * キ ー フ ァ イ ル が 読 め る の は root だ け に す る の を 忘 れ ず に 。
#
# OpenLDAP の 場 合 :
#tls_cert /etc/certs/client_cert.pem
#tls_key /etc/certs/client_key.pem
#
# SunONE や iPlanet LDAP (訳 注 : Netscape 由 来 ) の 場 合 :
# こ ち ら の 場 合 は 、 tls_cert や tls_key で 指 定 す る の は 、 証 明 書 や
# キ ー フ ァ イ ル の 入 っ て い る デ ィ レ ク ト リ で も よ く 、 フ ァ イ ル そ の も の の
# パ ス で も よ い 。 前 者 の 場 合 、 デ ィ レ ク ト リ 中 の フ ァ イ ル は 、 所 定 の 名 前
# (た と え ば cert8.db と key4.db) で な け れ ば な ら な い 。 も っ と も 、
# フ ァ イ ル の パ ス を 指 定 し た 場 合 は 、 バ ー ジ ョ ン 5.0 の LDAP SDK に は
# バ グ が あ る の で 、 フ ァ イ ル 名 に よ っ て は う ま く 動 作 し な い こ と が あ る 。
# こ の 理 由 か ら 、 tls_cert や tls_key に は 、 フ ァ イ ル 名 で は な く 、
# デ ィ レ ク ト リ を 指 定 す る 方 を お 薦 め す る 。
#
# tls_cert で 指 定 し た 証 明 書 の デ ー タ ベ ー ス に は 、 認 証 局 の 証 明 書 と
# ク ラ イ ア ン ト の 証 明 書 が 、 ど ち ら か 一 方 だ け 入 っ て い て も よ く 、
# 両 方 入 っ て い て も よ い 。 ク ラ イ ア ン ト の 証 明 書 が 入 っ て い る 場 合 は 、
# tls_key も 指 定 す る べ き で あ る 。
# 後 方 互 換 の た め 、 tls_cert の か わ り に sslpath を 使 う こ と も で き る 。
#tls_cert /var/ldap
#tls_key /var/ldap
#
# LDAP に SASL 認 証 を 使 用 す る 場 合 (OpenSSL)
# use_sasl yes
# sasl_auth_id <SASL user name>
# rootuse_sasl yes
# rootsasl_auth_id <SASL user name for root access>
# sasl_secprops none
# krb5_ccname /etc/.ldapcache

OpenLDAP 用 の sudo の ス キ ー マ 下 記 の ス キ ー マ は OpenLDAP 用 の 形 式 に な っ て お り 、 sudo の ソ ー ス や バ イ ナ リ の 配 布 に は schema.OpenLDAP と し て 収 録 さ れ て い る 。 そ の schema.OpenLDAP フ ァ イ ル を ス キ ー マ ・ デ ィ レ ク ト リ (た と え ば /etc/openldap/schema) に そ の ま ま コ ピ ー し 、 適 切 な include 行 を slapd.conf に 追 加 し て 、 slapd を リ ス タ ー ト す れ ば よ い 。

attributetype ( 1.3.6.1.4.1.15953.9.1.1
NAME ’sudoUser’
DESC ’User(s) who may run sudo’
EQUALITY caseExactIA5Match
SUBSTR caseExactIA5SubstringsMatch
SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 1.3.6.1.4.1.15953.9.1.2
NAME ’sudoHost’
DESC ’Host(s) who may run sudo’
EQUALITY caseExactIA5Match
SUBSTR caseExactIA5SubstringsMatch
SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 1.3.6.1.4.1.15953.9.1.3
NAME ’sudoCommand’
DESC ’Command(s) to be executed by sudo’
EQUALITY caseExactIA5Match
SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 1.3.6.1.4.1.15953.9.1.4
NAME ’sudoRunAs’
DESC ’User(s) impersonated by sudo’
EQUALITY caseExactIA5Match
SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 1.3.6.1.4.1.15953.9.1.5
NAME ’sudoOption’
DESC ’Options(s) followed by sudo’
EQUALITY caseExactIA5Match
SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 1.3.6.1.4.1.15953.9.1.6
NAME ’sudoRunAsUser’
DESC ’User(s) impersonated by sudo’
EQUALITY caseExactIA5Match
SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 1.3.6.1.4.1.15953.9.1.7
NAME ’sudoRunAsGroup’
DESC ’Group(s) impersonated by sudo’
EQUALITY caseExactIA5Match
SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 1.3.6.1.4.1.15953.9.1.8
NAME ’sudoNotBefore’
DESC ’Start of time interval for which the entry is valid’
EQUALITY generalizedTimeMatch
ORDERING generalizedTimeOrderingMatch
SYNTAX 1.3.6.1.4.1.1466.115.121.1.24 )

attributetype ( 1.3.6.1.4.1.15953.9.1.9
NAME ’sudoNotAfter’
DESC ’End of time interval for which the entry is valid’
EQUALITY generalizedTimeMatch
ORDERING generalizedTimeOrderingMatch
SYNTAX 1.3.6.1.4.1.1466.115.121.1.24 )

attributeTypes ( 1.3.6.1.4.1.15953.9.1.10
NAME ’sudoOrder’
DESC ’an integer to order the sudoRole entries’
EQUALITY integerMatch
ORDERING integerOrderingMatch
SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 )

objectclass ( 1.3.6.1.4.1.15953.9.2.1 NAME ’sudoRole’ SUP top STRUCTURAL
DESC ’Sudoer Entries’
MUST ( cn )
MAY ( sudoUser $ sudoHost $ sudoCommand $ sudoRunAs $ sudoRunAsUser $

)

関 連 項 目

ldap.conf(5), sssd−sudo(5), sudo.conf(5), sudoers(5)

作 者

多 数 の 人 々 が 長 年 に 渡 っ て sudo の 開 発 に 携 わ っ て き た 。 当 バ ー ジ ョ ン は 主 と し て 次 の 者 が 書 い た コ ー ド か ら で き て い る 。

Todd C. Miller

sudo の 開 発 に 貢 献 し て く だ さ っ た 方 々 の 詳 細 な リ ス ト に つ い て は 、 配 布 物 中 の CONTRIBUTORS フ ァ イ ル を ご 覧 に な っ て い た だ き た い 。 (https://www.sudo.ws/contributors.html)

警 告

LDAP を 使 用 す る sudoers セ キ ュ リ テ ィ ポ リ シ ー の 設 定 と sudoers フ ァ イ ル に よ る 設 定 で は 、 設 定 を 解 析 す る 仕 方 に 相 違 が あ る の で 、 注 意 し て い た だ き た い 。 詳 細 に つ い て は 、 「 LDAP を 使 う 場 合 と 使 わ な い 場 合 の sudoers セ キ ュ リ テ ィ ポ リ シ ー 設 定 の 相 違 点 」 の セ ク シ ョ ン を 参 照 す る こ と 。

バ グ

sudo に バ グ を 発 見 し た と 思 っ た ら 、 https://bugzilla.sudo.ws/ に ア ク セ ス し て 、 バ グ レ ポ ー ト を 提 出 し て い た だ き た い 。

サ ポ ー ト

あ る 程 度 の 無 料 サ ポ ー ト が sudo−users メ ー リ ン グ リ ス ト を 通 し て 利 用 で き る 。 購 読 や ア ー カ イ ブ の 検 索 に は 、 次 の URL を 御 覧 に な る と よ い 。 https://www.sudo.ws/mailman/listinfo/sudo−users

免 責

sudo は 「 現 状 の ま ま 」 提 供 さ れ る 。 明 示 的 な 、 あ る い は 黙 示 的 な い か な る 保 証 も 、 商 品 性 や 特 定 目 的 へ の 適 合 性 に つ い て の 黙 示 的 な 保 証 を 含 め 、 ま た そ れ の み に 止 ま ら ず 、 こ れ を 否 認 す る 。 詳 細 な 全 文 に つ い て は 、 sudo と 一 緒 に 配 布 さ れ て い る LICENSE フ ァ イ ル や 、 次 の Web ペ ー ジ を ご 覧 い た だ き た い 。 https://www.sudo.ws/license.html