= sudo
== config
  * edición **/etc/sudoers**: ''sudo visudo''
    * ''%%--%%check''
    * ''%%--%%strict''
    * ''%%--%%file=/etc/sudoers.d/alternate''

== sudoers
/via: [[https://www.digitalocean.com/community/tutorials/how-to-edit-the-sudoers-file-es]]

=== directorio /etc/sudoers.d
  * ''sudo visudo -f /etc/sudoers.d/nopass''
  * interpreta todos los archivos que no acaben en **~** o **.**
  * ''sudo update-alternatives %%--%%config editor''

=== reglas de privilegio de usuario
  * <code><USER> <HOST>=(<USER>:<GROUP>) <COMMANDS></code>
  * usuario **root** con todos los privilegios: <code>root ALL=(ALL:ALL) ALL</code>
  * permite a los usuarios de **grupo** todos los privilegios:<code>%grupo ALL=(ALL:ALL) ALL</code>
  * no pregunta contraseña:<code>root ALL=(ALL:ALL) NOPASSWD:ALL</code>

=== alias
  * **User_Alias**: <code>User_Alias <ALIAS>=user1, user2, user3, Grupo</code>
    * los nombres de los grupos han de estar en mayúsculas
    * permite a los usuarios del alias ejecutar ''apt-get update'': <code><ALIAS> ALL = /user/bin/apt-get update</code>
  * **Cmnd_Alias**: <code>Cmnd_Alias <ALIAS>=comando1, comando2, comando3</code>
    * lista de comandos que queremos permitir (o denegar?)
    * <code><ALIAS_GRUPO> ALL = <ALIAS_COMANDO></code>
  * **Runas_Alias** <code>Runas_Alias <ALIAS> = <user1>, <user2></code>
    * permite ejecutar comandos como otro usuario
    * cualquier miembro de ALIAS_GRUPO podrá ejecutar comandos como <user1> o <user2>:<code><ALIAS_GRUPO> ALL = (<ALIAS_RUNAS>) ALL</code>
      * ''sudo -u <usuario-ejecutar-como> comando''
      * ''sudo -g <grupo-ejecutar-como> comando''

=== etiquetas
  * **PASSWD**: solicitud de contraseña (opción por defecto)
  * **NOPASSWD**: no solicita contraseña para la ejecución del comando.
  * **NOEXEC**: impide la ejecución del comando con permisos root
  * El comportamiento que ofrece una etiqueta puede ser anulado por otra posteriomente en la misma línea.

=== privilegios root sin password
  * GROUPONE ALL = NOPASSWD: /usr/bin/updatedb
    * los usuarios de GROUPONE podrán ejecutar ''updatedb'' como root sin contraseña
  * GROUPONE ALL = NOPASSWD: /usr/bin/updatedb, PASSWD: /bin/kill

=== no ejecución
  * <code>usuario ALL = NOEXEC: /usr/bin/less</code>

=== sudo sin password
  * añadir al final del fichero:<code><username> ALL=(ALL) NOPASSWD:ALL</code>