Linux管理・運用の基本

• sudo設定の安全な編集方法
• 特定のコマンドのみsudoを許可する方法
• sudo実行時のパスワード入力を省略する方法 (NOPASSWD) とその詳細な制限
• sudo設定におけるセキュリティの考慮事項と運用ベストプラクティス

sudoの高度な設定を行うには、通常/etc/sudoersファイルを編集します。しかし、このファイルを直接編集してはいけません。誤った記述をしてしまうと、sudoコマンドが使えなくなり、最悪の場合、root権限でのログインもできなくなり、システムを操作できなくなるロックアウト状態に陥る可能性があります。

これを防ぐため、sudoersファイルを編集する際は、必ずvisudoコマンドを使用しましょう。visudoは編集時に文法チェックを行い、エラーがあれば保存を拒否してくれます。

visudoコマンドの実行例

sudo visudo

visudoを実行すると、デフォルトでviなどのエディタが開きます。編集後、保存して終了（viの場合は:wq）すれば設定が適用されます。

また、大規模なシステムや複数人での管理を行う場合、/etc/sudoersを直接編集するのではなく、/etc/sudoers.d/ディレクトリ内に個別の設定ファイルを作成することも推奨されます。この方法でも、各ファイルを編集する際にはvisudo -f /etc/sudoers.d/ファイル名のようにvisudoを使うと安全です。

/etc/sudoers.d/ファイルの命名とパーミッション:

/etc/sudoers.d/ディレクトリに設定ファイルを作成する場合、たとえば /etc/sudoers.d/webadmin のように、ユーザー名や役割ごとにファイルを分けて管理すると見通しが良くなります。

作成したファイルのパーミッションは非常に重要です。必ず0440（読み取り専用）に設定してください。これ以外のパーミッションだとsudoが正しく動作しない場合があります。

sudo chmod 0440 /etc/sudoers.d/webadmin

ユーザーにsudo権限を与えたいけれど、すべてのコマンドを許可したくない場合、特定のコマンドだけ実行を許可できます。これはシステム全体への影響を最小限に抑え、セキュリティリスクを減らすのに役立ちます。

許可したいコマンドのフルパスを確認するには？

コマンドのフルパスがわからない場合は、whichやwhereisコマンドで確認できます。

• which コマンド名: 環境変数PATHの中から実行ファイルを探します。

  which rsync
  # 出力例: /usr/bin/rsync

• whereis コマンド名: 実行ファイル、ソース、マニュアルページなどを探します。

  whereis apache2ctl
  # 出力例: apache2ctl: /usr/sbin/apache2ctl /usr/share/man/man8/apache2ctl.8.gz

  この場合、実行ファイルは/usr/sbin/apache2ctlです。

設定例：webadminにApachectlのみ許可

たとえば、webadminユーザーに/usr/sbin/apache2ctlコマンド（Apacheの制御コマンド）だけをsudoで実行させたい場合、/etc/sudoers（または/etc/sudoers.d/内のファイル）に以下のように記述します。

webadmin ALL=(ALL) /usr/sbin/apache2ctl

これにより、webadminユーザーは以下のコマンドを実行できます。

sudo /usr/sbin/apache2ctl restart

この設定では、webadminはapache2ctlコマンドのみをsudoで実行でき、他の管理者権限が必要なコマンドは実行できません。

特定の操作を頻繁に行う場合や、スクリプト内でsudoを使う必要がある場合など、sudo実行時のパスワード入力を省略したいことがあります。このような場合は、NOPASSWDオプションを使います。

設定例：deployuserにrsyncをパスワードなしで許可

deployuserユーザーがパスワードなしで/usr/bin/rsyncコマンドをsudo実行できるようにするには、/etc/sudoersに以下のように記述します。

deployuser ALL=(ALL) NOPASSWD: /usr/bin/rsync

この設定後、deployuserはパスワードなしでrsyncコマンドをsudo実行できます。

sudo rsync -avz /var/www/html/ /mnt/backup/

NOPASSWDで特定サブコマンドや引数を制限する（より高度な制御）

NOPASSWDで許可するコマンドに対して、さらに細かく特定の引数のみを許可するといった制限も可能です。これは、セキュリティをより厳密にしたい場合に非常に有効です。

例：deployuserが特定のパスへのrsyncバックアップコマンドのみパスワードなしで実行できるようにする

deployuser ALL=(ALL) NOPASSWD: /usr/bin/rsync -avz /var/www/html/ /mnt/backup/

このように記述すると、deployuserは上記の正確なコマンド（引数を含む）のみをパスワードなしで実行できます。

sudoers内でワイルドカード（*）を使う場合の注意: sudoers内でワイルドカード（*）を使う場合、これはシェルによるワイルドカード展開とは挙動が異なります。sudoは引数をそのまま文字列として比較します。したがって、パスを*で指定した場合、意図しない許可範囲の広がりや、期待するコマンドが実行できないなどの誤解が生じる可能性があります。予期せぬ脆弱性を生み出さないよう、慎重に使用するか、具体的なパスを指定することを推奨します。

注意点: NOPASSWDはセキュリティリスクを高めるため、利用は最小限に留め、本当に必要なコマンドにのみ適用するべきです。特に、シェルを起動できるコマンド（例: /bin/bash）にNOPASSWDを設定すると、そのユーザーは実質的にroot権限をパスワードなしで取得できてしまうため、絶対に避けるべきです。

sudoは強力なツールであるため、設定には細心の注意が必要です。

• 最小権限の原則: ユーザーには必要最小限の権限のみを与えましょう。全てのコマンドを許可するALLは、本当に必要な場合以外は避けるべきです。

• 特定のコマンドのみ許可: 可能であれば、実行を許可するコマンドを具体的に指定します。

• NOPASSWDの乱用を避ける: パスワード入力なしでのsudo実行は便利ですが、悪用されるリスクが高まります。自動化スクリプトなど、どうしても必要な場合に限定しましょう。

• visudoコマンドの使用: /etc/sudoersファイルを編集する際は、必ず visudoコマンド を使用してください。visudoは文法チェックを行い、設定ミスによるシステムロックアウトを防ぎます。

• エイリアスの利用 (Cmnd_Alias): よく似たコマンド群をまとめて許可したい場合は、Cmnd_Aliasを使ってエイリアスを定義すると管理が楽になります。

  Cmnd_Alias APACHE_CMDS = /usr/sbin/apache2ctl, /usr/sbin/a2enmod, /usr/sbin/a2dismod
  webadmin ALL=(ALL) APACHE_CMDS

  注意: Cmnd_Aliasを使用する際も、エイリアスに含めるコマンドは厳選しましょう。たとえば、a2enmod（Apacheモジュール有効化）やa2dismod（Apacheモジュール無効化）のようにシステム設定を変更する可能性のあるコマンドを含める場合は、そのユーザーが意図せずシステムに影響を与えないよう、許可範囲を慎重に検討することが重要です。

• sudoers.dディレクトリの活用: 複数人での管理や、役割に応じた設定を分割したい場合は、/etc/sudoers.d/ディレクトリ内に個別の設定ファイル（例: /etc/sudoers.d/webadmin）を作成して管理するのがおすすめです。これにより、大規模な設定でも見通しが良くなり、競合を防ぎやすくなります。これらのファイルもvisudo -fで編集し、適切なパーミッション（0440）を設定することを忘れないでください。

sudoの高度な設定を活用することで、より細かくユーザーの権限を制御し、システムのセキュリティを向上させることができます。しかし、その強力さゆえに、設定ミスはシステムに深刻な脆弱性をもたらす可能性があります。常に最小権限の原則に基づき、visudoコマンドを用いて慎重に設定を行いましょう。

この記事でsudoの応用的な設定と安全な運用について理解が深まりましたでしょうか？
次回はネットワークのIPアドレス確認について解説します。
ご覧いただきありがとうございました。