Debian sudo免密配置

sudoers配置文件NOPASSWD

配置sudoers文件，/etc/sudoers或/etc/sudoers.d/{xxx}

{用户}    ALL=(ALL:ALL) NOPASSWD:{命令(多个用,号隔开，所有命令可以用all)}

使用pam_ssh_agent_auth转发

远程主机配置

1. 安装pam_ssh_agent_auth

   apt-get install libpam-ssh-agent-auth

2. 配置/etc/pam.d/sudo文件
   在文件开头配置：

   auth sufficient pam_ssh_agent_auth.so file=/etc/security/authorized_keys

3. 增加/etc/security/authorized_keys配置文件
   添加认证公钥，格式同~/.ssh/authorized_keys
   可直接复制

   cp ~/.ssh/authorized_keys /etc/security/

4. 配置/etc/sudoers
   增加 pam_ssh_agent_auth 配置

   Defaults env_keep += "SSH_AUTH_SOCK"

本地主机配置

临时生效

ssh连接时增加-A参数

ssh -A {主机}

永久生效

配置~/.ssh/config文件

1. 针对所有主机(不推荐)

   Host *
    ForwardAgent yes

2. 针对指定主机

   Host {指定主机}
    ForwardAgent yes

使用pam-u2f

1.安装libpam-u2f pamu2fcfg

sudo apt install libpam-u2f pamu2fcfg

2.创建配置文件目录

mkdir -p ~/.config/Yubico
chmod 700 ~/.config/Yubico

3.注册yubikey

pamu2fcfg > ~/.config/Yubico/u2f_keys
chmod 600 ~/.config/Yubico/u2f_keys

4.免密配置

设置sudo免密码

sudo vim /etc/pam.d/sudo

在文件中 auth 部分的顶部 添加：

# 优先使用 YubiKey
auth       sufficient   pam_u2f.so   cue  nouserok

设置免密码GNOME桌面登陆

sudo vim /etc/pam.d/gdm-password

在文件中 auth 部分的顶部 添加：

# 优先使用 YubiKey
auth       sufficient   pam_u2f.so   cue  nouserok  pinverification=1

说明:

进阶配置

场景

配置

需要先完成 使用pam-u2f 部分的步骤1-步骤3

增加判定是否是ssh登录脚本

sudo vim /usr/local/bin/is_ssh.sh
sudo chmod +x /usr/local/bin/is_ssh.sh

文件内容:

#!/bin/bash
pstree -s $$ | grep -q sshd

配置/etc/pam.d/sudo文件

在文件中 auth 部分的顶部 添加：

# 如果 is_ssh.sh 返回 success，跳过后面 1 个 auth 模块
auth [success=1 default=ignore] pam_exec.so quiet /usr/local/bin/is_ssh.sh
# 本地u2f认证
auth sufficient pam_u2f.so cue nouserok
# ssh-agent认证
auth sufficient pam_ssh_agent_auth.so file=/etc/security/authorized_keys