Permitir usuario1 a "su - usuario2" sin contraseña

Necesito permitir que el usuario martincambie a usuario martin-testsin contraseña

su - martin-test

Creo que esto se puede configurar en /etc/pam.d/su. Ya hay algunas líneas en ese archivo que pueden ser descomentadas. Sin embargo, no me gusta la idea de agregar usuarios martinal grupo wheel. No quiero dar martinmás privilegios que poder cambiar martin-test. Tampoco quiero usar sudo.

¿Cuál sería la mejor manera de hacerlo, manteniendo los privilegios del usuario al martinmínimo?

Agregue las siguientes líneas justo debajo de la pam_rootok.solínea en su /etc/pam.d/su:

auth  [success=ignore default=1] pam_succeed_if.so user = martin-test
auth  sufficient                 pam_succeed_if.so use_uid user = martin

Estas líneas realizan comprobaciones utilizando el pam_succeed_if.somódulo. Consulte también la sintaxis del archivo de configuración Linux-PAM para obtener más información sobre las authlíneas.

• La primera línea verifica si el usuario objetivo es martin-test. Si es así, no sucede nada ( success=ignore) y continuamos en la siguiente línea para verificar el usuario actual . Si no es así, se omitirá la siguiente línea ( default=1) y continuaremos en las líneas posteriores con los pasos de autenticación habituales.
• La segunda línea verifica si el usuario actual es martin. Si es así, el sistema considera que el proceso de autenticación es exitoso y devuelve ( sufficient). Si no es así, no pasa nada y continuamos en las líneas posteriores con los pasos de autenticación habituales.

También puede restringir sua un grupo, aquí el grupo allowedpeoplepuede susin una contraseña:

auth sufficient pam_succeed_if.so use_uid user ingroup allowedpeople

Si no desea cambiar grupos o usar sudo, use un módulo pam llamado pam_execpara ejecutar scripts externos en una etapa pam.

Agregue una línea /etc/pam.d/sudespués de la pam_rootok.solínea:

auth       sufficient pam_exec.so quiet /path/to/script

/path/to/script tiene los permisos 755 (rwxr-xr-x) y el siguiente contenido:

#!/bin/bash
if [ "$PAM_TYPE" == "auth" ] && \
[ "$PAM_USER" == "martin-test" ] && \
[ "$PAM_RUSER" == "martin" ]; then
  exit 0
else
  exit 1
fi

Entonces este script existe con éxito si su:

• se llama en contexto de autenticación,
• el usuario llamante es martiny
• El usuario a autenticar es martin-test.

Ver:

martin@host:~$ su - martin-test
martin-test@host:~$ exit
martin@host:~$ su - otheruser
Password: ****
otheruser@host:~$ 

Si no tiene acceso a la cuenta raíz, pero tiene la contraseña del usuario que desea usar para ejecutar un comando, puede hacer lo siguiente.

• Esto le pedirá la contraseña de toto: su - toto -c whoami
• Esto no lo hará: ssh toto @ localhost whoami

Simplemente instale su clave pública en claves_autorizadas de toto

Mi solución simple es:

sudo login -f martin-test

Si desea evitar sudo a toda costa, creo que debería ser posible poner esto en un script:

1. propiedad de root y con privilegios de root (usando el indicador setuid )
2. ejecutable por todos, también sin ningún sudo.

Sin embargo, no puedo entender los bits chown rooty chmod +s ToTest.sh, para que esto realmente funcione:

#!/usr/bin/env bash
echo howdy, I am $(whoami)
sudo login -f martin-test

Todavía corro como mi usuario normal, como me dice el eco. Y todavía requiere contraseña sudo. Si se ejecutaba como root, se podría eliminar el sudoen la última línea ...