Как создать правило запуска root скрипта любому пользователю

Как создать скрипт на bash в linux, который сможет запускать любой пользователь без использования прав root в данном случае для примера, создадим скрипт, который выполняет команду

  
sudo shutdown now
    

Для решения этой задачи в ALT Linux есть несколько подходов. Самый оптимальный и безопасный — использовать sudo с настройкой в sudoers. Вот как это сделать:

1. Создайте bash-скрипт

  
sudo nano /usr/local/bin/shutdown-now
    

Содержимое скрипта:

  
#!/bin/bash
/sbin/shutdown now
    

Сделайте его исполняемым:

  
sudo chmod +x /usr/local/bin/shutdown-now
    

2. Настройте sudoers

Откройте конфигурацию sudoers безопасным способом:

  
sudo visudo
    

Добавьте в конец файла одну из строк:

Вариант A — для всех пользователей:

  
ALL ALL=(ALL) NOPASSWD: /usr/local/bin/shutdown-now
    

Вариант B — только для определённой группы (например, users):

  
%users ALL=(ALL) NOPASSWD: /usr/local/bin/shutdown-now
    

Вариант C — только для конкретного пользователя:

  
username ALL=(ALL) NOPASSWD: /usr/local/bin/shutdown-now
    

3. Использование

Теперь любой пользователь (согласно настройкам) может выполнить:

  
sudo /usr/local/bin/shutdown-now
    

Или создайте алиас для удобства в /etc/bashrc или ~/.bashrc:

  
alias poweroff-now='sudo /usr/local/bin/shutdown-now'
    

✅ Безопасность — вы явно указываете, какую именно команду можно выполнять без пароля

✅ Контроль — легко добавлять/удалять пользователей

✅ Логирование — все действия записываются в системные логи

✅ Стандартность — это общепринятый подход в Linux

Если нужно выключение из графического интерфейса, можно настроить PolicyKit, но для командной строки sudo — лучший вариант.

1. Создайте скрипт (как раньше)

  
sudo nano /usr/local/bin/shutdown-now
    

  
#!/bin/bash
/sbin/shutdown now
    

  
sudo chmod +x /usr/local/bin/shutdown-now
    

2. Настройте sudoers для доменных групп

  
sudo visudo
    

Добавьте правило для доменной группы:

  
%domain_admins@DOMAIN.COM ALL=(ALL) NOPASSWD: /usr/local/bin/shutdown-now
%helpdesk@DOMAIN.COM ALL=(ALL) NOPASSWD: /usr/local/bin/shutdown-now
    

Или для всех доменных пользователей:

  
%domain_users@DOMAIN.COM ALL=(ALL) NOPASSWD: /usr/local/bin/shutdown-now
    

Важно: Замените DOMAIN.COM на ваш реальный домен (большими буквами).

3. Проверьте маппинг групп AD

Убедитесь, что группы AD правильно маппятся:

  
getent group | grep @
id доменный_пользователь@DOMAIN.COM
    

Если прямой маппинг групп не работает:

1. Создайте локальную группу

  
sudo groupadd shutdown-users
    

2. Добавьте доменных пользователей в группу

  
sudo usermod -aG shutdown-users username@DOMAIN.COM
    

Или автоматически через SSSD — в /etc/sssd/sssd.conf:

  
[domain/DOMAIN.COM]
ldap_user_extra_attrs = altSecurityIdentities:altSecurityIdentities
ldap_user_ssh_public_key = altSecurityIdentities

# Автоматическое добавление в группу
auto_private_groups = true
    

3. Настройте sudoers для локальной группы

  
sudo visudo
    

  
%shutdown-users ALL=(ALL) NOPASSWD: /usr/local/bin/shutdown-now
    

Создайте отдельный файл sudoers:

  
sudo visudo -f /etc/sudoers.d/shutdown-policy
    

Содержимое:

  
# Shutdown policy for domain users
# Managed by IT department

# Allow specific AD groups to shutdown without password
%IT-Admins@EXAMPLE.COM ALL=(ALL) NOPASSWD: /usr/local/bin/shutdown-now
%Operators@EXAMPLE.COM ALL=(ALL) NOPASSWD: /usr/local/bin/shutdown-now

# Restrict to specific hosts (optional)
# %Operators@EXAMPLE.COM hostname1,hostname2=(ALL) NOPASSWD: /usr/local/bin/shutdown-now
    

Установите права:

  
sudo chmod 0440 /etc/sudoers.d/shutdown-policy
    

1. Проверьте, что доменный пользователь авторизован:

  
klist  # должен показать Kerberos ticket
    

1. Проверьте sudo для доменного пользователя:

  
sudo -l
    

Должно показать разрешенные команды без пароля.

1. Тестовый запуск:

  
sudo /usr/local/bin/shutdown-now
    

✅ Централизованное управление — меняете группу в AD, не трогая каждый Linux-хост

✅ Аудит — все действия логируются с доменными именами

✅ Безопасность — используются существующие группы безопасности AD

✅ Масштабируемость — легко распространить на множество машин через Ansible/Puppet