Linux Sudo-Rechte verwalten: Benutzer hinzufügen, einschränken & entfernen

Die Benutzerverwaltung ist eine zentrale Aufgabe in der Linux-Systemadministration. Administratoren müssen sorgfältig entscheiden, welche Konten erhöhte Rechte erhalten und wie dieser Zugriff kontrolliert wird. Eine sichere und flexible Methode, solche Rechte zu vergeben, ist das Hinzufügen von Benutzern zur Sudo-Gruppe. Der Befehl sudo (Abkürzung für „superuser do“) ermöglicht es ausgewählten Nutzern, Befehle mit administrativen Rechten – in der Regel mit Root-Berechtigungen – auszuführen, ohne sich direkt als Root anmelden zu müssen.

Diese Anleitung zeigt, wie man erweiterte Rechte vergibt, indem man Benutzer der Sudo-Gruppe hinzufügt oder sudo-Regeln über die Linux-Sudoers-Datei anpasst.

Voraussetzungen

• Zugriff auf ein Linux-System als nicht-root Sudo-Benutzer.

Benutzer zur Sudo-Gruppe hinzufügen

Auf den meisten Linux-Systemen erhalten Benutzer in der Sudo-Gruppe administrative Rechte. Dieser Ansatz ist sicherer als die direkte Anmeldung als Root, da er das Risiko unbeabsichtigter, systemweiter Fehler reduziert. Auf RHEL-basierten Distributionen (z. B. CentOS, Rocky Linux) heißt die entsprechende Gruppe häufig wheel. In produktiven Umgebungen gilt es als Best Practice, normalen Benutzerkonten Sudo-Zugriff zu gewähren.

Administratoren können Benutzer mit dem Befehl usermod in Gruppen aufnehmen. Befolgen Sie die folgenden Schritte, um Benutzer mit Sudo-Rechten anzulegen und zu konfigurieren.

Aktuell angemeldeten Benutzer prüfen

$ whoami

Beispielausgabe:

linuxuser

Aktuelle Sudo-Berechtigungen prüfen

$ sudo -l

Beispielausgabe:

Matching Defaults entries for linuxuser on LinuxWorkstation:
    env_reset, mail_badpass, secure_path=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/snap/bin, use_pty

User linuxuser may run the following commands on LinuxWorkstation:
    (ALL) NOPASSWD: ALL

Dies zeigt, dass das Konto linuxuser jeden Befehl ausführen kann, ohne nach einem Passwort gefragt zu werden. Der Befehl ist nützlich, um Benutzerrechte zu prüfen.

Einen neuen Benutzer anlegen

$ sudo adduser john

Sie werden aufgefordert, ein Passwort zu setzen und Benutzerdetails einzugeben. Beispielausgaben des Systems:

info: Adding user `john' ...
info: Adding new group `john' ...
info: Creating home directory `/home/john' ...
passwd: password updated successfully
Changing the user information for john
Full Name []: john wick
Room Number []: 1234
Work Phone []: 9876543210
Home Phone []: 1234567890
Other []: 
Is the information correct? [Y/n] Y

Hinweis: Standardmäßig weist Linux neuen Benutzern eine primäre Gruppe mit ihrem Namen und manchmal zusätzlich die Gruppe users zu. Diese Gruppen enthalten keine Sudo-Rechte.

Prüfen, ob ein Benutzer Sudo-Rechte hat

$ sudo -U john -l

Typische Ausgabe:

User john is not allowed to run sudo on LinuxWorkstation.

Sudo-Rechte vergeben

$ sudo usermod -aG sudo john

Zum Benutzer wechseln und testen

$ sudo su - john

Nachdem Sie sich als john angemeldet haben, testen Sie:

$ sudo whoami

Erwartete Ausgabe:

root

Mitglieder der Sudo-Gruppe anzeigen

Mit getent prüfen

$ getent group sudo

Beispielausgabe:

sudo:x:27:john,jane

Mit groups prüfen

$ groups jane

Ausgabe:

jane : jane sudo users

Für john entsprechend:

$ groups john

Ausgabe:

john : john sudo users

Zugriff mit der Sudoers-Datei einschränken

Die Datei /etc/sudoers sollte ausschließlich mit visudo bearbeitet werden, um Syntaxfehler zu vermeiden. Während die Mitgliedschaft in der Sudo-Gruppe umfassende Rechte vergibt, können Administratoren mit der Sudoers-Datei Befehle einschränken oder individuell anpassen.

Zugelassene Befehle definieren

Sudoers-Konfiguration für einen bestimmten Benutzer bearbeiten:

$ sudo visudo -f /etc/sudoers.d/john

Befehlsalias anlegen:

Cmnd_Alias UPDATE_AND_UPGRADE = /usr/bin/apt update, /usr/bin/apt upgrade

Zugriff ohne Passwortabfrage gewähren:

john ALL=(ALL) NOPASSWD: UPDATE_AND_UPGRADE

Oder Zugriff auf einen einzelnen Befehl:

john ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx

Eigene Regeln prüfen

Zum Benutzer john wechseln und Update/Upgrade-Befehle ohne Passwortabfrage ausführen:

$ sudo apt update
$ sudo apt upgrade

Andere Befehle erfordern weiterhin eine Authentifizierung oder werden je nach Konfiguration verweigert.

Sudo-Nutzerbeschränkungen mit der Sudoers-Datei hinzufügen

Zur Erhöhung der Sicherheit können Regeln festgelegt werden, wie Mitglieder der Sudo-Gruppe mit dem Befehl sudo arbeiten. Beispielsweise lässt sich die Anzahl fehlerhafter Passworteingaben oder die Dauer der Passwortspeicherung steuern. Dies geschieht über die Parameter passwd_tries und timestamp_timeout.

Sudoers-Konfiguration für die Gruppe anlegen

$ sudo visudo -f /etc/sudoers.d/sudogroup

Passwortversuche begrenzen

Defaults:%sudo passwd_tries=1

Diese Regel bedeutet:

• Defaults:%sudo: Gilt für alle Mitglieder der Sudo-Gruppe.
• passwd_tries=1: Nur ein fehlerhafter Passwortversuch ist erlaubt.

Um dies auf einen einzelnen Benutzer anzuwenden:

Defaults:john passwd_tries=1

Passwort jedes Mal abfragen

Defaults:%sudo timestamp_timeout=0

Erklärung:

• timestamp_timeout=0: Keine Karenzzeit. Das Passwort muss bei jedem Sudo-Befehl neu eingegeben werden.
• Standardwert: 15, was 15 Minuten Wiederverwendung pro Terminal-Session erlaubt.

Beschränkungen testen

Ein Paket mit falschem Passwort installieren:

$ sudo apt install nginx

Ausgabe:

sudo: 1 incorrect password attempt

Den Befehl erneut mit richtigem Passwort ausführen:

$ sudo apt install nginx

Da timestamp_timeout auf 0 gesetzt ist, wird das Passwort erneut abgefragt. Nach richtiger Eingabe wird das Paket installiert.

Hinweis: Standardmäßig beträgt timestamp_timeout 15 Minuten, sodass innerhalb dieser Zeit keine erneute Passworteingabe nötig ist.

Benutzer aus der Sudo-Gruppe entfernen

Wenn ein Benutzer keine administrativen Rechte mehr benötigt, können Sudo-Berechtigungen entzogen werden. Im folgenden Beispiel wird john entfernt.

Zu einem anderen privilegierten Benutzer wechseln

$ sudo su - linuxuser

Eigene Sudoers-Konfiguration löschen

$ sudo rm /etc/sudoers.d/john

Warnung: Stellen Sie sicher, dass Sie noch Zugriff auf ein anderes Konto mit Sudo-Rechten haben, bevor Sie den einzigen administrativen Benutzer entfernen.

Benutzer aus der Gruppe entfernen

$ sudo deluser john sudo

Beispielausgabe des Systems:

info: Removing user `john' from group `sudo' ...

Entfernung überprüfen

$ groups john

Beispielausgabe:

john : john users

Zu john wechseln und sudo testen:

$ sudo apt update

Erwartete Ausgabe:

Sorry, user john is not allowed to execute '/usr/bin/apt update' as root on LinuxWorkstation.

Hinweis: Änderungen an Gruppenmitgliedschaften werden nur in neuen Terminalsitzungen wirksam.

Sudo-Zugriff mit der Sudoers-Datei gewähren

Sudo-Rechte können auch ohne Zugehörigkeit zur Sudo-Gruppe vergeben werden. Möglich ist dies, weil sudo die in der Sudoers-Datei definierten Berechtigungen prüft. Normalerweise erhalten Gruppenmitglieder Zugriff durch folgende Zeile in der Hauptdatei:

%sudo   ALL=(ALL:ALL) ALL

Diese Regel gewährt allen Mitgliedern der Sudo-Gruppe vollen Zugriff. Dennoch können für einzelne Benutzer eigene Regeln erstellt werden.

Neuen Benutzer anlegen

$ sudo adduser joe

Eigene Sudoers-Datei erstellen

$ sudo visudo -f /etc/sudoers.d/joe

Vollen Zugriff für joe eintragen:

joe ALL=(ALL) ALL

Gruppenzugehörigkeit prüfen

$ groups joe

Ausgabe:

joe : joe users

Wechseln und testen

$ sudo su - joe

Nun testen:

$ sudo whoami

Erwartete Ausgabe:

root

Fazit

Sie haben gesehen, wie Administratoren Sudo-Rechte entweder über die Zugehörigkeit zur Sudo-Gruppe oder direkt über Regeln in der Sudoers-Datei verwalten. Die Sudo-Gruppe bietet eine bequeme Verwaltung, während eigene Sudoers-Konfigurationen Administratoren eine feinere Kontrolle darüber geben, welche Befehle Nutzer unter welchen Bedingungen ausführen dürfen.