允许user1不用密码即可“ su-user2”

我需要允许用户martin切换到martin-test没有密码的用户

su - martin-test

我认为这可以在中配置/etc/pam.d/su。该文件中已经有一些行可以取消注释。但是，我不喜欢将用户添加martin到group 的想法wheel。martin除了切换到，我不想授予更多特权martin-test。我也不想使用sudo。

在保持用户特权martin最小化的同时，最好的方法是什么？

pam_rootok.so在您的行下面添加以下行/etc/pam.d/su：

auth  [success=ignore default=1] pam_succeed_if.so user = martin-test
auth  sufficient                 pam_succeed_if.so use_uid user = martin

这些行使用pam_succeed_if.so模块执行检查。另请参阅Linux-PAM配置文件语法以了解有关这些auth行的更多信息。

• 第一行检查目标用户是否为martin-test。如果是，则什么也不会发生（success=ignore），我们在下一行继续检查当前用户。如果不是，则将跳过下一行（default=1），然后我们按照常规身份验证步骤继续进行下一行。
• 第二行检查当前用户是否为martin。如果是，则系统认为认证过程成功，并返回（sufficient）。如果不是，则什么也不会发生，我们将按照常规的身份验证步骤继续进行后续工作。

您也可以限制su为一个组，这里该组allowedpeople可以su没有密码：

auth sufficient pam_succeed_if.so use_uid user ingroup allowedpeople

如果您不想更改组或使用sudo，请使用pam模块，该模块pam_exec在pam阶段执行外部脚本。

在您/etc/pam.d/su的pam_rootok.so行后添加一行：

auth       sufficient pam_exec.so quiet /path/to/script

/path/to/script 具有权限755（rwxr-xr-x）和以下内容：

#!/bin/bash
if [ "$PAM_TYPE" == "auth" ] && \
[ "$PAM_USER" == "martin-test" ] && \
[ "$PAM_RUSER" == "martin" ]; then
  exit 0
else
  exit 1
fi

因此，如果满足su以下条件，则此脚本成功存在：

• 在身份验证的上下文中被称为
• 主叫用户是martin和
• 要验证的用户是martin-test。

看到：

martin@host:~$ su - martin-test
martin-test@host:~$ exit
martin@host:~$ su - otheruser
Password: ****
otheruser@host:~$ 

如果您无权访问root帐户，但拥有要用于运行命令的用户的密码，则可以执行以下操作。

• 这将询问您toto的密码：su-toto -c whoami
• 这不会：ssh toto @ localhost whoami

只需将公共密钥安装在toto的authorized_keys中

我的简单解决方案是：

sudo login -f martin-test

如果您想不惜一切代价避免使用sudo，我认为应该可以将其放在脚本中：

1. 由root拥有并具有root特权（使用setuid标志）
2. 每个人都可以执行，也没有任何sudo。

但是，我无法弄清楚chown root和chmod +s ToTest.sh位，才能使其真正起作用：

#!/usr/bin/env bash
echo howdy, I am $(whoami)
sudo login -f martin-test

回声告诉我，我仍然以普通用户身份运行。而且它仍然需要sudo密码。如果它以root身份运行，则可以取消sudo最后一行中的...