名前¶

          dn: ou=SUDOers,dc=example,dc=com
          objectClass: top
          objectClass: organizationalUnit
          ou: SUDOers

    dn: cn=defaults,ou=SUDOers,dc=example,dc=com
    objectClass: top
    objectClass: sudoRole
    cn: defaults
    description: Default sudoOption's go here
    sudoOption: env_keep+=SSH_AUTH_SOCK

    dn: cn=%wheel,ou=SUDOers,dc=example,dc=com
    objectClass: top
    objectClass: sudoRole
    cn: %wheel
    sudoUser: %wheel
    sudoHost: ALL
    sudoCommand: ALL

    # /etc/sudoers の場合:
    # shell 以外のすべてのコマンドを許可する
    johnny  ALL=(root) ALL,!/bin/sh
    # 次の設定は、ALL が最後にマッチするので、常にすべてのコマンドを
    # 許可することになる
    puddles ALL=(root) !/bin/sh,ALL
    # 上記の johnny に相当する LDAP のエントリ:
    # shell 以外のすべてのコマンドを許可する
    dn: cn=role1,ou=Sudoers,dc=my-domain,dc=com
    objectClass: sudoRole
    objectClass: top
    cn: role1
    sudoUser: johnny
    sudoHost: ALL
    sudoCommand: ALL
    sudoCommand: !/bin/sh
    # 上記の puddles に相当する LDAP のエントリ:
    # ALL が最後に指定されているが、LDAP のコードはよりパラノイア的な
    # 設定になっているため、これもまた role1 と同じように動作する
    # ことに注意してほしい
    dn: cn=role2,ou=Sudoers,dc=my-domain,dc=com
    objectClass: sudoRole
    objectClass: top
    cn: role2
    sudoUser: puddles
    sudoHost: ALL
    sudoCommand: !/bin/sh
    sudoCommand: ALL

    # joe 以外の全員とマッチしないどころか、
    # 誰にもマッチしない
    sudoUser: !joe
    # joe 以外の全員とマッチしないどころか、
    # joe を含む全員にマッチしてしまう
    sudoUser: ALL
    sudoUser: !joe
    # web01 以外のすべてとマッチしないどころか、
    # web01 を含むすべてのホストにマッチしてしまう
    sudoHost: ALL
    sudoHost: !web01

    files       /etc/sudoers から sudo の設定を読み込む
    ldap        LDAP から sudo の設定を読み込む

    sudoers: ldap files

    sudoers: ldap

    sudoers: files

    sudoers = ldap, files

    sudoers = ldap

    sudoers = ldap = auth, files

    sudoers = files

  # URI か host:port の組み合わせを一つ以上指定する。
  # どちらも指定されていない場合、sudo は localhost と 389 番
  # ポートを使用する。
  #
  #host          ldapserver
  #host          ldapserver1 ldapserver2:390
  #
  # host がポートなしで指定されている場合のポート番号。
  # デフォルトは 389 である。
  #port          389
  #
  # URI の指定は、host と port による指定に優先する。
  uri            ldap://ldapserver
  #uri            ldaps://secureldapserver
  #uri            ldaps://secureldapserver ldap://ldapserver
  #
  #  LDAP サーバに接続しようとしているときの、秒単位の待ち時間。
  bind_timelimit 30
  #
  # LDAP の参照を行っているときの、秒単位の待ち時間。
  timelimit 30
  #
  # 必ず設定すること。さもないと、sudo は LDAP を無視することになる。
  sudoers_base   ou=SUDOers,dc=example,dc=com
  #
  # LDAP を参照したとき、sudo 設定のマッチングについて詳細情報を
  # 表示する。
  #sudoers_debug 2
  #
  # LDAP の操作を行う者の認証情報 (設定する、しないは任意)。
  #binddn        <who to search as>
  #bindpw        <password>
  #rootbinddn    <who to search as, uses /etc/ldap.secret for bindpw>
  #
  # LDAP プロトコルのバージョン。デフォルトは 3 である。
  #ldap_version 3
  #
  # LDAP 接続を暗号化したいなら、on にする。
  # 通例、ポートを 636 (ldaps) にすることも必要。
  #ssl on
  #
  # ポート 389 を使用し、バインド操作のために認証情報が
  # 送信される前に、暗号化セッションに切り替えたい場合に設定する。
  # これをサポートしているのは、OpenLDAP のような start_tls 拡張に
  # 対応している LDAP サーバだけである。
  #ssl start_tls
  #
  # 以下の TLS オプションを付けることで SSL/TLS 接続を微調整できる。
  #
  #tls_checkpeer yes # サーバの SSL 証明書を確認する。
  #tls_checkpeer no  # サーバの SSL 証明書を確認しない。
  #
  # tls_checkpeer を有効にするときは、 tls_cacertfile か
  # tls_cacertdir のどちらかを指定すること。tls_cacertfile や
  # tls_cacertdir は OpenLDAP 使用時のみ使える。
  #
  #tls_cacertfile /etc/certs/trusted_signers.pem
  #tls_cacertdir  /etc/certs
  #
  # /dev/random がないシステムでは、下記の設定を PRNGD、あるいは
  # EGD.pl と一緒に使用すれば、暗号セッション用の鍵を生成するための
  # 乱数プールの種を供給できる。このオプションが使えるのは、
  # OpenLDAP を使用しているときだけである。
  #
  #tls_randfile /etc/egd-pool
  #
  # 使用する暗号を限定することができる。どの暗号が使えるかに
  # ついては、SSL の文書を参照してほしい。このオプションが
  # 使えるのは、OpenLDAP を使用しているときだけである。
  #
  #tls_ciphers <cipher-list>
  #
  # sudo は LDAP サーバと交信するときに、クライアントの証明書を
  # 提示することができる。
  # 注意:
  #   * 両方の行を同時に有効にすること。
  #   * キーファイルをパスワードでプロテクトしてはいけない。
  #   * キーファイルが読めるのは root だけにするのを忘れずに。
  #
  # OpenLDAP の場合:
  #tls_cert /etc/certs/client_cert.pem
  #tls_key  /etc/certs/client_key.pem
  #
  # SunONE や iPlanet LDAP の場合:
  # こちらの場合は、tls_cert や tls_key で指定するのは、
  # ディレクトリでもよく、cert や key ファイルそのもののパスでもよい。
  # 前者の場合、ディレクトリ中のファイルは、既定の名前 (たとえば、
  # cert8.db と key4.db) でなければならない。もっとも、ファイルの
  # パスを指定した場合は、バージョン 5.0 の LDAP SDK にはバグが
  # あるので、ファイル名によってはうまく動作しないことがある。
  # この理由から、tls_cert や tls_key には、ファイル名ではなく、
  # ディレクトリを指定する方をお薦めする。
  #
  # tls_cert で指定した証明書のデータベースには、認証局の証明書と
  # クライアントの証明書が、どちらか一方だけ入っていてもよく、
  # 両方入っていてもよい。クライアントの証明書が入っている場合は、
  # tls_key も指定するべきである。
  # 後方互換のため、tls_cert のかわりに sslpath を使うこともできる。
  #tls_cert /var/ldap
  #tls_key /var/ldap
  #
  # LDAP に SASL 認証を使用する場合 (OpenSSL)
  # use_sasl yes
  # sasl_auth_id <SASL username>
  # rootuse_sasl yes
  # rootsasl_auth_id <SASL username for root access>
  # sasl_secprops none
  # krb5_ccname /etc/.ldapcache

 attributetype ( 1.3.6.1.4.1.15953.9.1.1
    NAME 'sudoUser'
    DESC 'User(s) who may  run sudo'
    EQUALITY caseExactIA5Match
    SUBSTR caseExactIA5SubstringsMatch
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
 attributetype ( 1.3.6.1.4.1.15953.9.1.2
    NAME 'sudoHost'
    DESC 'Host(s) who may run sudo'
    EQUALITY caseExactIA5Match
    SUBSTR caseExactIA5SubstringsMatch
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
 attributetype ( 1.3.6.1.4.1.15953.9.1.3
    NAME 'sudoCommand'
    DESC 'Command(s) to be executed by sudo'
    EQUALITY caseExactIA5Match
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
 attributetype ( 1.3.6.1.4.1.15953.9.1.4
    NAME 'sudoRunAs'
    DESC 'User(s) impersonated by sudo'
    EQUALITY caseExactIA5Match
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
 attributetype ( 1.3.6.1.4.1.15953.9.1.5
    NAME 'sudoOption'
    DESC 'Options(s) followed by sudo'
    EQUALITY caseExactIA5Match
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
 attributetype ( 1.3.6.1.4.1.15953.9.1.6
    NAME 'sudoRunAsUser'
    DESC 'User(s) impersonated by sudo'
    EQUALITY caseExactIA5Match
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
 attributetype ( 1.3.6.1.4.1.15953.9.1.7
    NAME 'sudoRunAsGroup'
    DESC 'Group(s) impersonated by sudo'
    EQUALITY caseExactIA5Match
    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
 objectclass ( 1.3.6.1.4.1.15953.9.2.1 NAME 'sudoRole' SUP top STRUCTURAL
    DESC 'Sudoer Entries'
    MUST ( cn )
    MAY ( sudoUser $ sudoHost $ sudoCommand $ sudoRunAs $ sudoRunAsUser $
          sudoRunAsGroup $ sudoOption $ description )
    )

名前¶

説明¶

ファイル¶

用例¶

参照¶

警告¶

バグ¶

サポート¶

免責¶

Source file:	sudoers.ldap.5.ja.gz (from man-pages-ja 20100115-10.el6)
Source last updated:	2015-03-13 13:09:13
Converted to HTML:	2023-06-08 08:52:09