Manpages

名 前

sudo, sudoedit − コ マ ン ド を 他 の ユ ー ザ と し て 実 行 す る

書 式

説 明

sudo を 使 用 す る と 、 許 可 さ れ た ユ ー ザ が 、 セ キ ュ リ テ ィ ポ リ シ ー の 設 定 の 範 囲 内 で 、 ス ー パ ー ユ ー ザ や 他 の ユ ー ザ に 変 身 し て 、 command を 実 行 す る こ と が 可 能 に な る 。 セ キ ュ リ テ ィ ポ リ シ ー へ の 問 い 合 わ せ は 、 ユ ー ザ 名 に よ っ て 行 わ れ る が 、 そ の ユ ー ザ 名 を 決 め る の は 、 sudo を 実 行 す る ユ ー ザ の 実 ユ ー ザ ID で あ っ て 、 実 効 ユ ー ザ ID で は な い 。

sudo は セ キ ュ リ テ ィ ポ リ シ ー と 入 出 力 の ロ ギ ン グ に つ い て 、 プ ラ グ イ ン 方 式 を サ ポ ー ト し て い る 。 従 っ て 、 サ ー ド パ ー テ ィ は 、 sudo フ ロ ン ト エ ン ド と シ ー ム レ ス に 協 働 す る ポ リ シ ー ・ プ ラ グ イ ン や 入 出 力 ロ ギ ン グ ・ プ ラ グ イ ン を 、 独 自 に 開 発 し て 配 布 す る こ と が で き る 。 デ フ ォ ル ト の セ キ ュ リ テ ィ ポ リ シ ー は sudoers で あ り 、 そ の 設 定 は 、 /etc/sudoers フ ァ イ ル 、 も し く は LDAP を 通 し て 行 わ れ る 。 詳 細 に つ い て は 、 「 プ ラ グ イ ン 」 セ ク シ ョ ン を 参 照 し て い た だ き た い 。 セ キ ュ リ テ ィ ポ リ シ ー は 、 あ る ユ ー ザ に sudo を 使 用 す る 権 限 が あ る か ど う か 、 あ る と す れ ば 、 ど ん な 権 限 を 持 っ て い る か を 決 定 す る 。 セ キ ュ リ テ ィ ポ リ シ ー は 、 ユ ー ザ に パ ス ワ ー ド や 他 の 認 証 方 法 を 使 っ て 、 本 人 で あ る こ と を 証 明 す る よ う に 要 求 す る こ と が で き る 。 認 証 が 必 要 な 場 合 、 ユ ー ザ が 自 分 の パ ス ワ ー ド を 、 設 定 に よ っ て 変 更 可 能 な 制 限 時 間 内 に 入 力 し な い と 、 sudo は 時 間 切 れ で 終 了 す る (訳 注 : sudo は デ フ ォ ル ト で は 、 root や 変 身 対 象 ユ ー ザ の パ ス ワ ー ド で は な く 、 sudo を 実 行 す る ユ ー ザ 本 人 の パ ス ワ ー ド を 要 求 す る )。 こ の 制 限 時 間 は ポ リ シ ー 次 第 で あ り 、 sudoers セ キ ュ リ テ ィ ポ リ シ ー の 場 合 、 パ ス ワ ー ド ・ プ ロ ン プ ト が タ イ ム ア ウ ト す る ま で の デ フ ォ ル ト の 時 間 は 、 5 分 間 で あ る 。 セ キ ュ リ テ ィ ポ リ シ ー は 、 一 定 時 間 内 な ら ユ ー ザ が 認 証 な し で sudo を 何 度 も 実 行 で き る よ う に 、 認 証 情 報 の 一 時 保 存 (credential caching) を サ ポ ー ト し て も よ い 。 sudoers ポ リ シ ー で は 、 sudoers(5) で 変 更 さ れ な い か ぎ り 、 認 証 情 報 を 5 分 間 保 持 す る 。 ユ ー ザ は sudo に −v を 付 け て 実 行 す る こ と で 、 command を 実 行 し な い で も 、 保 存 さ れ た 認 証 情 報 を 更 新 す る こ と が で き る 。

sudoedit と い う コ マ ン ド 名 で 起 動 す る の は 、 sudo に −e オ プ シ ョ ン (下 記 参 照 ) を 付 け て 実 行 す る の と 同 じ で あ る 。 セ キ ュ リ テ ィ ポ リ シ ー は 、 ユ ー ザ が sudo を 使 お う と し て 成 功 し た 場 合 も 失 敗 し た 場 合 も 、 そ れ を ロ グ に 記 録 す る こ と が で き る 。 入 出 力 プ ラ グ イ ン が 設 定 さ れ て い る 場 合 は 、 sudo 経 由 で 実 行 す る コ マ ン ド の 入 出 力 も ロ グ に 残 す こ と が で き る 。 オ プ シ ョ ン と し て 以 下 の も の が 使 用 で き る 。
−A, −−askpass 通 常 sudo が パ ス ワ ー ド を 要 求 す る と き 、 パ ス ワ ー ド は ユ ー ザ が 使 用 し て い る 端 末 か ら 読 み 込 ま れ る 。 −A (askpass) オ プ シ ョ ン を 指 定 す る と 、 ヘ ル パ ー ・ プ ロ グ ラ ム (グ ラ フ ィ カ ル な も の で も よ い ) が 実 行 さ れ 、 ユ ー ザ の パ ス ワ ー ド を 読 み 込 ん で 、 そ れ を 標 準 出 力 に 書 き 出 す 。 環 境 変 数 SUDO_ASKPASS が 設 定 さ れ て い る と き は 、 そ れ が ヘ ル パ ー ・ プ ロ グ ラ ム の パ ス に な る 。 そ れ 以 外 の 場 合 は 、 sudo.conf(5) に askpass プ ロ グ ラ ム を 指 定 し て い る 行 が 存 在 す れ ば 、 そ の 値 が 使 用 さ れ る 。 一 例 を 挙 げ よ う 。

# askpass ヘ ル パ ー ・ プ ロ グ ラ ム の パ ス
Path askpass /usr/X11R6/bin/ssh−askpass 利 用 で き る askpass プ ロ グ ラ ム が な い と 、 sudo は エ ラ ー メ ッ セ ー ジ を 出 し て 、 終 了 す る 。

−a type, −−auth−type=type

/etc/login.conf で 使 用 可 に な っ て い れ ば 、 ユ ー ザ を 認 証 す る 際 に 指 定 さ れ た BSD の 認 証 方 法 type を 使 用 す る 。 シ ス テ ム 管 理 者 は 、 /etc/login.conf に "auth−sudo" エ ン ト リ を 追 加 す る こ と で 、 sudo 専 用 の 認 証 方 法 の リ ス ト を 指 定 す る こ と が で き る 。 こ の オ プ シ ョ ン は 、 BSD 認 証 を サ ポ ー ト す る シ ス テ ム で の み 使 用 で き る 。

−b, −−background 指 定 さ れ た コ マ ン ド を バ ッ ク グ ラ ウ ン ド で 実 行 す る 。 sudo 経 由 で 起 動 し た バ ッ ク グ ラ ウ ン ド ・ プ ロ セ ス は 、 シ ェ ル の ジ ョ ブ 制 御 を 使 っ て 操 作 で き な い こ と に 注 意 し て い た だ き た い 。 バ ッ ク グ ラ ウ ン ド モ ー ド で は 、 ほ と ん ど の 対 話 的 な コ マ ン ド が う ま く 動 か な い だ ろ う 。
−C num, −−close−from=num コ マ ン ド を 実 行 す る に 先 立 っ て 、 num 以 上 の 番 号 の フ ァ イ ル ・ デ ィ ス ク リ プ タ を す べ て ク ロ ー ズ す る 。 3 未 満 の 値 は 指 定 で き な い 。 デ フ ォ ル ト で は 、 コ マ ン ド を 実 行 す る 際 に 、 sudo は 、 標 準 入 力 、 標 準 出 力 、 標 準 エ ラ ー 以 外 の 、 オ ー プ ン し て い る す べ て の フ ァ イ ル ・ デ ィ ス ク リ プ タ を 閉 じ る こ と に な っ て い る 。 セ キ ュ リ テ ィ ポ リ シ ー は 、 ユ ー ザ に よ る こ の オ プ シ ョ ン の 使 用 を 制 限 す る こ と が で き る 。 sudoers ポ リ シ ー が −C オ プ シ ョ ン の 使 用 を 許 可 す る の は 、 管 理 者 が closefrom_override オ プ シ ョ ン を 有 効 に し て い る と き の み で あ る 。
−c class, −−login−class=class 指 定 さ れ た ロ グ イ ン ク ラ ス class の リ ソ ー ス ・ リ ミ ッ ト と ス ケ ジ ュ ー リ ン グ 優 先 度 で 、 コ マ ン ド を 実 行 す る 。 引 き 数 class に 使 用 で き る の は 、 /etc/login.conf で 定 義 さ れ た ク ラ ス 名 か 、 単 独 の ’−’ 文 字 の ど ち ら か で あ る 。 class が − な ら ば 、 変 身 対 象 ユ ー ザ の デ フ ォ ル ト の ロ グ イ ン ク ラ ス が 使 用 さ れ る こ と に な る 。 そ れ 以 外 の 場 合 は 、 コ マ ン ド を ス ー パ ー ユ ー ザ (ユ ー ザ ID が 0) と し て 実 行 す る か 、 あ る い は 、 す で に ス ー パ ー ユ ー ザ と し て 実 行 し て い る シ ェ ル か ら sudo を 実 行 す る か の ど ち ら か で な け れ ば な ら な い 。 実 行 さ れ る コ マ ン ド が ロ グ イ ン ・ シ ェ ル で あ る 場 合 は 、 umask や 環 境 変 数 と い っ た /etc/login.conf の 他 の 設 定 も 、 存 在 す れ ば 適 用 さ れ る こ と に な る 。 こ の オ プ シ ョ ン は BSD ロ グ イ ン ク ラ ス を 採 用 し て い る シ ス テ ム で の み 有 効 で あ る 。
−E, −−preserve−env 現 在 の 環 境 変 数 を そ の ま ま 保 持 す る の が ユ ー ザ の 意 向 だ と 、 セ キ ュ リ テ ィ ポ リ シ ー に 指 示 す る 。 ユ ー ザ が 環 境 を 保 持 す る 許 可 を 持 っ て い な い 場 合 は 、 セ キ ュ リ テ ィ ポ リ シ ー が エ ラ ー を 返 す こ と に な る だ ろ う 。

編 集 す る 。 セ キ ュ リ テ ィ ポ リ シ ー の 参 照 で は 、 コ マ ン ド の パ ス 名 の 代 わ り に "sudoedit" と い う 文 字 列 が 使 用 さ れ る 。 セ キ ュ リ テ ィ ポ リ シ ー に よ っ て ユ ー ザ に 権 限 が あ る こ と が 認 め ら れ る と 、 次 の こ と が 順 番 に 行 わ れ る 。

sudo を 起 動 し た ユ ー ザ で あ る 。

sudoers ポ リ シ ー で は 、 環 境 変 数 SUDO_EDITOR, VISUAL, EDITOR を (こ の 順 番 で ) 使 用 す る 。 SUDO_EDITOR, VISUAL, EDITOR の ど れ も 設 定 さ れ て い な い 場 合 は 、 sudoers(5) の editor オ プ シ ョ ン に リ ス ト さ れ た プ ロ グ ラ ム の う ち 、 最 初 の も の が 使 わ れ る 。

(バ ー ジ ョ ン 1.8.15 以 上 )。

ユ ー ザ が デ バ イ ス ・ ス ペ シ ャ ル フ ァ イ ル の 編 集 を 許 可 さ れ る こ と は 絶 対 に な い 。 指 定 さ れ た フ ァ イ ル が 存 在 し な い 場 合 は 作 成 す る 。 こ こ で 注 意 す べ き は 、 sudo に よ っ て 実 行 さ れ る コ マ ン ド の 大 部 分 と 違 っ て 、 −e で エ デ ィ タ が 実 行 さ れ る と き は 、 sudo を 起 動 し た ユ ー ザ の 環 境 が 、 変 更 を 受 け ず に 使 わ れ る と い う こ と だ 。 何 ら か の 理 由 で sudo が 編 集 し た 内 容 で フ ァ イ ル を 更 新 で き な い と き は 、 ユ ー ザ に 警 告 を 発 し 、 編 集 し た 内 容 を テ ン ポ ラ リ フ ァ イ ル に 保 存 す る こ と に な る 。

−g group, −−group=group コ マ ン ド を 実 行 す る と き 、 プ ラ イ マ リ ・ グ ル ー プ を パ ス ワ ー ド ・ デ ー タ ベ ー ス の 変 身 対 象 ユ ー ザ の 項 目 で 指 定 さ れ て い る も の で は な く 、 group に 設 定 す る 。 group は 、 グ ル ー プ 名 で も よ く 、 ’#’ 記 号 に グ ル ー プ ID 番 号 (GID) を 続 け た も の で も よ い (た と え ば 、 GID 0 な ら 　 #0)。 GID と し て コ マ ン ド を 実 行 す る 場 合 、 ほ と ん ど の シ ェ ル で は 、 ’#’ を バ ッ ク ス ラ ッ シ ュ (’\’) で エ ス ケ ー プ す る 必 要 が あ る 。 な お 、 −u オ プ シ ョ ン が 指 定 さ れ て い な い 場 合 、 コ マ ン ド は sudo を 起 動 し た ユ ー ザ の 資 格 で 実 行 さ れ る 。 い づ れ に し ろ 、 プ ラ イ マ リ ・ グ ル ー プ が group に 設 定 さ れ る こ と に 変 わ り は な い 。 (訳 注 : −g オ プ シ ョ ン を 使 用 す る に は 、 sudoers ポ リ シ ー の 場 合 な ら 、 sudoers フ ァ イ ル の ユ ー ザ 設 定 で 、 変 身 対 象 と な る グ ル ー プ を 設 定 し て お く 必 要 が あ る 。 詳 細 に つ い て は 、 sudoers(5) の マ ニ ュ ア ル の 該 当 個 所 を 参 照 し て い た だ き た い 。 )
−H, −−set−home

HOME 環 境 変 数 を 、 パ ス ワ ー ド ・ デ ー タ ベ ー ス の 変 身 対 象 ユ ー ザ の 項 目 で 、 ホ ー ム デ ィ レ ク ト リ と し て 指 定 さ れ て い る も の に 設 定 す る よ う に 、 セ キ ュ リ テ ィ ポ リ シ ー に 要 求 す る 。 ポ リ シ ー に よ っ て は 、 そ れ が デ フ ォ ル ト の 動 作 に な っ て い る こ と も あ る 。

−h host, −−host=host セ キ ュ リ テ ィ ポ リ シ ー ・ プ ラ グ イ ン が リ モ ー ト ・ コ マ ン ド を サ ポ ー ト し て い る な ら 、 指 定 さ れ た host で コ マ ン ド を 実 行 す る 。 sudoers プ ラ グ イ ン は 、 現 在 の と こ ろ 、 リ モ ー ト ・ コ マ ン ド の 実 行 を サ ポ ー ト し て い な い こ と に 注 意 し て い た だ き た い 。 こ の オ プ シ ョ ン を −l オ プ シ ョ ン と 一 緒 に 使 え ば 、 リ モ ー ト ・ ホ ス ト に お け る ユ ー ザ の 権 限 の リ ス ト を 得 る こ と が で き る 。 (訳 注 : こ の オ プ シ ョ ン に つ い は 、 sudo_plugin(5) の マ ニ ュ ア ル の "Remote command execution" セ ク シ ョ ン も ご 覧 い た だ き た い 。 そ ち ら の 説 明 が 詳 し い 。 )

.profile や .login と い っ た ロ グ イ ン 用 の リ ソ ー ス ・ フ ァ イ ル が 、 シ ェ ル に よ っ て 読 み 込 ま れ る こ と に な る 。 コ マ ン ド を 指 定 す る と 、 そ れ が シ ェ ル に 渡 さ れ 、 シ ェ ル の −c オ プ シ ョ ン を 使 っ て 実 行 さ れ る 。 コ マ ン ド を 指 定 し な い 場 合 は 、 対 話 的 シ ェ ル が 起 動 さ れ る 。 sudo は 、 シ ェ ル を 実 行 す る 前 に 、 変 身 対 象 ユ ー ザ の ホ ー ム デ ィ レ ク ト リ に 移 動 し よ う と す る 。 コ マ ン ド の 実 行 は 、 ユ ー ザ が 普 通 に ロ グ イ ン し た と き の 環 境 と ほ ぼ 同 じ 環 境 で 行 わ れ る 。 sudoers ポ リ シ ー を 使 用 し て い る 場 合 に 、 −i オ プ シ ョ ン が コ マ ン ド の 実 行 環 境 に ど ん な 影 響 を 与 え る か に つ い て は 、 sudoers(5) の マ ニ ュ ア ル の 「 コ マ ン ド 環 境 」 セ ク シ ョ ン に 説 明 が あ る 。
−K, −−remove−timestamp

−k オ プ シ ョ ン に 似 て い る が 、 ユ ー ザ の 保 存 さ れ た 認 証 情 報 を 完 全 に 消 去 し て し ま う 点 と 、 コ マ ン ド や 他 の オ プ シ ョ ン と 組 み 合 わ せ て 使 え な い 点 が 異 な っ て い る 。 こ の オ プ シ ョ ン は パ ス ワ ー ド を 要 求 し な い 。 す べ て の セ キ ュ リ テ ィ ポ リ シ ー が 、 認 証 情 報 の 一 時 保 存 を サ ポ ー ト し て い る わ け で は な い 。

−k, −−reset−timestamp コ マ ン ド を 伴 わ ず に 使 用 し た 場 合 は 、 ユ ー ザ の 保 存 さ れ た 認 証 情 報 を 無 効 に す る 。 言 い 換 え る と 、 次 回 sudo を 実 行 す る と き に 、 パ ス ワ ー ド が 要 求 さ れ る と い う こ と だ 。 こ の オ プ シ ョ ン 自 体 は 、 パ ス ワ ー ド を 要 求 し な い 。 こ の オ プ シ ョ ン が 追 加 さ れ た の は 、 ユ ー ザ が .logout フ ァ イ ル で 、 sudo を パ ス ワ ー ド な し で 実 行 で き る 期 間 を 終 了 さ せ る こ と が で き る よ う に す る た め で あ る 。 コ マ ン ド や 、 パ ス ワ ー ド を 必 要 と す る よ う な 他 の オ プ シ ョ ン と 組 み 合 わ せ て 、 こ の オ プ シ ョ ン を 使 用 す る と 、 sudo が ユ ー ザ の 保 存 さ れ た 認 証 情 報 を 無 視 す る こ と に な る 。 そ の 結 果 、 sudo は (セ キ ュ リ テ ィ ポ リ シ ー が パ ス ワ ー ド を 要 求 す る な ら ば )、 プ ロ ン プ ト を 出 し て 、 パ ス ワ ー ド を 要 求 す る 。 こ の と き 、 ユ ー ザ の 保 存 さ れ た 認 証 情 報 の 更 新 は 行 わ れ な い 。 す べ て の セ キ ュ リ テ ィ ポ リ シ ー が 、 認 証 情 報 の 一 時 保 存 を サ ポ ー ト し て い る わ け で は な い 。

い は 、 −U オ プ シ ョ ン で 指 定 し た ユ ー ザ ) が 、 現 在 ロ グ イ ン し て い る ホ ス ト で 許 可 さ れ て い る (及 び 、 禁 じ ら れ て い る ) コ マ ン ド の リ ス ト を 表 示 す る 。 こ の オ プ シ ョ ン を 複 数 回 指 定 す る と 、 セ キ ュ リ テ ィ ポ リ シ ー が 詳 細 な 出 力 形 式 を サ ポ ー ト し て い れ ば 、 長 い 方 の リ ス ト 形 式 が 使 用 さ れ る 。 コ マ ン ド を 指 定 し た 場 合 は 、 そ の 実 行 が セ キ ュ リ テ ィ ポ リ シ ー に よ っ て 許 可 さ れ て い れ ば 、 コ マ ン ド の 絶 対 パ ス が 表 示 さ れ る 。 コ マ ン ド ラ イ ン で コ マ ン ド に 引 き 数 ま で 指 定 す る と (訳 注 : そ の 引 き 数 が 許 可 さ れ て い れ ば )、 そ れ も 一 緒 に 表 示 さ れ る 。 指 定 し た コ マ ン ド が 許 可 さ れ て い な い 場 合 は 、 sudo は ス テ ー タ ス 1 で 終 了 す る こ と に な る 。

−n, −−non−interactive プ ロ ン プ ト を 出 し て ユ ー ザ に 入 力 を 求 め る こ と を 一 切 し な い 。 コ マ ン ド を 実 行 す る の に パ ス ワ ー ド が 必 要 な 場 合 、 sudo は エ ラ ー メ ッ セ ー ジ を 出 し て 、 終 了 す る こ と に な る 。
−P, −−preserve−groups

sudo を 実 行 す る ユ ー ザ の 所 属 グ ル ー プ の リ ス ト を 、 変 更 せ ず に そ の ま ま 使 用 す る 。 デ フ ォ ル ト で は 、 sudoers ポ リ シ ー の 場 合 、 所 属 グ ル ー プ は 初 期 化 さ れ て 、 変 身 対 象 ユ ー ザ が 所 属 し て い る グ ル ー プ の リ ス ト が 使 わ れ る こ と に な っ て い る の で あ る 。 と は 言 え 、 実 グ ル ー プ ID と 実 効 グ ル ー プ ID が 、 変 身 対 象 ユ ー ザ と 同 一 に な る よ う に セ ッ ト さ れ る 点 に は 変 わ り が な い 。

−p prompt, −−prompt=prompt パ ス ワ ー ド プ ロ ン プ ト に 好 み の 文 字 列 を 使 用 す る 。 文 字 列 に は 、 エ ス ケ ー プ シ ー ケ ン ス が 使 用 で き る 。 sudoers で は 、 以 下 の パ ー セ ン ト (’%’) エ ス ケ ー プ シ ー ケ ン ス を サ ポ ー ト し て い る 。

が 完 全 修 飾 名 で あ る か 、 sudoers(5) で fqdn オ プ シ ョ ン が セ ッ ト さ れ て い る 場 合 に 有 効 )

rootpw, targetpw, runaspw フ ラ グ を 尊 重 す る )

な い と き は 、 root が デ フ ォ ル ト ) の ロ グ イ ン 名 に 展 開 さ れ る