Sudoers-sjablonen voor uitbreiding in UNIX-/Linux-bewaking

Voor effectieve bewaking van UNIX- of Linux-besturingssystemen zijn enkele verhoogde machtigingen op het clientsysteem vereist voor zowel bewakings- als onderhoudstaken. Er zijn sudoers-configuratiesjablonen in dit artikel voor de bruikbaarheid van de basislijn.

Introductie

Als u sudo-accounts wilt gebruiken voor bewaking met Operations Manager, moeten configuraties worden ingesteld voor het autoriseren van uitbreiding voor RunAs-accounts met behulp van sudo. Algemene vereisten voor de accounts die door Operations Manager worden gebruikt met sudo-uitbreiding zijn:

• Voor de accounts moet RequireTTY zijn uitgeschakeld als standaardparameter.
• De accounts moeten worden geconfigureerd om nopasswd te verhogen.
• De accounts moeten de 'lezing' hebben die doorgaans wordt weergegeven bij het aanmelden en bij het verhogen met sudo, uitgeschakeld.

De opgegeven sjablonen geven de opdrachten op waarmee de geconfigureerde RunAs-accounts taken kunnen uitvoeren waarvoor verhoogde machtigingen zijn vereist, zoals:

• De agent installeren
• De agent upgraden
• De agent verwijderen
• Systeemlogboeken bewaken
• De agentservices opnieuw starten
• Het maken van verificatiecertificaten vergemakkelijken

Notitie

Opdrachten en vereisten zijn niet hetzelfde voor alle UNIX-/Linux-distributies of -versies. Zorg ervoor dat u de juiste sjabloon voor uw besturingssysteem hebt.

Ziet u uw besturingssysteem niet? Raadpleeg de pagina Ondersteunde UNIX- en Linux-besturingssysteemversies voor ondersteunde distributies.

De sjablonen gebruiken

Selecteer de juiste sjabloon voor uw besturingssysteem en vervang de voorbeeldaccounts door de gebruikersnamen van uw RunAs-account. Neem indien nodig andere organisatieaanpassingen op.

In elke sjabloon zijn er twee accounts gedefinieerd en deze worden als volgt toegewezen aan standaard RunAs-accounts:

Uitvoeren als-account	Gebruikersnaam
UNIX/Linux-actieaccount	scomuser
UNIX-/Linux-onderhoudsaccount	scomadm

Zodra de sjabloon is bijgewerkt met de juiste gebruikersnamen en eventuele extra wijzigingen, moet de sjabloon worden toegevoegd aan de sudoers-configuratie van het clientsysteem. Er zijn meestal twee manieren om sudo-configuraties toe te voegen, ofwel door het /etc/sudoers bestand of /etc/sudo.conf rechtstreeks te wijzigen (afhankelijk van het besturingssysteem), of door een 'drop-in'-bestand toe te voegen onder /etc/sudoers.d (bijvoorbeeld /etc/sudoers.d/scom). In dit artikel wordt niet uitgebreid ingegaan op het volledig configureren van sudo zelf. Zie de documentatie van de leverancier voor uw specifieke besturingssysteem voor meer informatie.

Red Hat Enterprise Linux (RHEL)

Belangrijk

Vanaf versie 8 valt Red Hat Enterprise Linux onder Universal Linux.

RHEL 7

#-----------------------------------------------------------------------------------
# Example user configuration for Operations Manager 2022
# Example assumes users named: scomadm & scomuser
# Replace usernames & corresponding /tmp/scx-\<username\> specification for your environment

# General requirements
Defaults:scomadm !requiretty

# Agent maintenance
## Certificate signing
scomadm ALL=(root) NOPASSWD: /bin/sh -c cp /tmp/scx-scomadm/scx.pem /etc/opt/microsoft/scx/ssl/scx.pem; rm -rf /tmp/scx-scomadm; /opt/microsoft/scx/bin/tools/scxadmin -restart
scomadm ALL=(root) NOPASSWD: /bin/sh -c cat /etc/opt/microsoft/scx/ssl/scx.pem
scomadm ALL=(root) NOPASSWD: /usr/bin/sh -c if test -f /opt/microsoft/omsagent/bin/service_control; then cp /tmp/scx-scomadm/omsadmin.conf /etc/opt/microsoft/omsagent/scom/conf/omsadmin.conf; /opt/microsoft/omsagent/bin/service_control restart scom; fi

## Install or upgrade
# Compiler mitigated agent version changes
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9]-[0-9].rhel.[[\:digit\:]].s.x[6-8][4-6].sh --install --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9][0-9]-[0-9].rhel.[[\:digit\:]].x[6-8][4-6].sh --install --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9]-[0-9].rhel.[[\:digit\:]].x[6-8][4-6].sh --install --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9]-[0-9].rhel.[[\:digit\:]].s.x[6-8][4-6].sh --upgrade --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9][0-9]-[0-9].rhel.[[\:digit\:]].x[6-8][4-6].sh --upgrade --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9]-[0-9].rhel.[[\:digit\:]].x[6-8][4-6].sh --upgrade --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC

## Uninstall
#scomadm ALL=(root) NOPASSWD: /bin/sh -c /opt/microsoft/scx/bin/uninstall
scomadm ALL=(root) NOPASSWD: /bin/sh -c if test -f /opt/microsoft/omsagent/bin/omsadmin.sh; then if test "$(/opt/microsoft/omsagent/bin/omsadmin.sh -l | grep scom | wc -l)" \= "1" && test "$(/opt/microsoft/omsagent/bin/omsadmin.sh -l | wc -l)" \= "1" || test "$(/opt/microsoft/omsagent/bin/omsadmin.sh -l)" \= "No Workspace"; then /opt/microsoft/omsagent/bin/uninstall; else /opt/microsoft/omsagent/bin/omsadmin.sh -x scom; fi; else /opt/microsoft/scx/bin/uninstall; fi

## Log file monitoring
scomuser ALL=(root) NOPASSWD: /opt/microsoft/scx/bin/scxlogfilereader -p

### Examples ###
## Custom shell command monitoring example – replace \<shell command\> with the correct command string
#scomuser ALL=(root) NOPASSWD: /bin/sh -c echo error

## Daemon diagnostic and restart recovery tasks example (using cron)
#scomuser ALL=(root) NOPASSWD: /bin/sh -c ps -ef | grep cron | grep -v grep
#scomuser ALL=(root) NOPASSWD: /usr/sbin/cron & 

# End user configuration for Operations Manager agent
#-----------------------------------------------------------------------------------

SUSE Linux Enterprise Server (SLES)

Belangrijk

Vanaf versie 15 valt SUSE onder Universal Linux.

SLES 12

#-----------------------------------------------------------------------------------
# Example user configuration for Operations Manager 2022
# Example assumes users named: scomadm & scomuser
# Replace usernames & corresponding /tmp/scx-\<username\> specification for your environment

# General requirements
Defaults:scomadm !requiretty

# Agent maintenance
## Certificate signing
scomadm ALL=(root) NOPASSWD: /bin/sh -c cp /tmp/scx-scomadm/scx.pem /etc/opt/microsoft/scx/ssl/scx.pem; rm -rf /tmp/scx-scomadm; /opt/microsoft/scx/bin/tools/scxadmin -restart
scomadm ALL=(root) NOPASSWD: /bin/sh -c cat /etc/opt/microsoft/scx/ssl/scx.pem
scomadm ALL=(root) NOPASSWD: /bin/sh -c if test -f /opt/microsoft/omsagent/bin/service_control; then cp /tmp/scx-scomadm/omsadmin.conf /etc/opt/microsoft/omsagent/scom/conf/omsadmin.conf; /opt/microsoft/omsagent/bin/service_control restart scom; fi

## Install or upgrade
# Compiler mitigated agent version changes
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9]-[0-9].sles.1[[\:digit\:]].s.x[6-8][4-6].sh --install --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9][0-9]-[0-9].sles.1[[\:digit\:]].x[6-8][4-6].sh --install --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9]-[0-9].sles.1[[\:digit\:]].x[6-8][4-6].sh --install --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9]-[0-9].sles.1[[\:digit\:]].s.x[6-8][4-6].sh --upgrade --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9][0-9]-[0-9].sles.1[[\:digit\:]].x[6-8][4-6].sh --upgrade --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9]-[0-9].sles.1[[\:digit\:]].x[6-8][4-6].sh --upgrade --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC

## Uninstall
#scomadm ALL=(root) NOPASSWD: /bin/sh -c /opt/microsoft/scx/bin/uninstall
scomadm ALL=(root) NOPASSWD: /bin/sh -c if test -f /opt/microsoft/omsagent/bin/omsadmin.sh; then if test "$(/opt/microsoft/omsagent/bin/omsadmin.sh -l | grep scom | wc -l)" \= "1" && test "$(/opt/microsoft/omsagent/bin/omsadmin.sh -l | wc -l)" \= "1" || test "$(/opt/microsoft/omsagent/bin/omsadmin.sh -l)" \= "No Workspace"; then /opt/microsoft/omsagent/bin/uninstall; else /opt/microsoft/omsagent/bin/omsadmin.sh -x scom; fi; else /opt/microsoft/scx/bin/uninstall; fi

## Log file monitoring
scomuser ALL=(root) NOPASSWD: /opt/microsoft/scx/bin/scxlogfilereader -p

### Examples ###
## Custom shell command monitoring example – replace \<shell command\> with the correct command string
#scomuser ALL=(root) NOPASSWD: /bin/sh -c echo error

## Daemon diagnostic and restart recovery tasks example (using cron)
#scomuser ALL=(root) NOPASSWD: /bin/sh -c ps -ef | grep cron | grep -v grep
#scomuser ALL=(root) NOPASSWD: /usr/sbin/cron & 

# End user configuration for Operations Manager agent
#-----------------------------------------------------------------------------------

Universal Linux

Universal Linux omvat zowel Debian- als Red Hat-besturingssystemen en is de plek waar u de meest recente ondersteunde Linux-besturingssystemen en -distributies kunt vinden. Voor een lijst met distributies die onder dit klassetype vallen, raadpleegt u: Ondersteunde UNIX- en Linux-besturingssysteemversies

#----------------------------------------------------------------------------------------
# Example user configuration for Operations Manager 2022
# Example assumes users named: scomadm & scomuser
# Replace usernames & corresponding /tmp/scx-\<username\> specification for your environment

# General requirements
Defaults:scomadm !requiretty

# Agent maintenance
## Certificate signing
scomadm ALL=(root) NOPASSWD: /bin/sh -c cp /tmp/scx-scomadm/scx.pem /etc/opt/microsoft/scx/ssl/scx.pem; rm -rf /tmp/scx-scomadm; /opt/microsoft/scx/bin/tools/scxadmin -restart
scomadm ALL=(root) NOPASSWD: /bin/sh -c cat /etc/opt/microsoft/scx/ssl/scx.pem
scomadm ALL=(root) NOPASSWD: /bin/sh -c if test -f /opt/microsoft/omsagent/bin/service_control; then cp /tmp/scx-scomadm/omsadmin.conf /etc/opt/microsoft/omsagent/scom/conf/omsadmin.conf; /opt/microsoft/omsagent/bin/service_control restart scom; fi

## Install or upgrade
# Compiler mitigated agent version changes
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9]-[0-9].universal[[\:alpha\:]].[[\:digit\:]].s.x[6-8][4-6].sh --install --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9]-[0-9]-[0-9].universal[[\:alpha\:]].[[\:digit\:]].x[6-8][4-6].sh --install --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9]-[0-9].universal[[\:alpha\:]].[[\:digit\:]].x[6-8][4-6].sh --install --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9]-[0-9].universal[[\:alpha\:]].[[\:digit\:]].s.x[6-8][4-6].sh --upgrade --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9]-[0-9]-[0-9].universal[[\:alpha\:]].[[\:digit\:]].x[6-8][4-6].sh --upgrade --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC
scomadm ALL=(root) NOPASSWD: /bin/sh -c sh /tmp/scx-scomadm/scx-1.[5-9].[0-9]-[0-9].universal[[\:alpha\:]].[[\:digit\:]].x[6-8][4-6].sh --upgrade --enable-opsmgr; EC=$?; cd /tmp; rm -rf /tmp/scx-scomadm; exit $EC

## Uninstall
#scomadm ALL=(root) NOPASSWD: /bin/sh -c /opt/microsoft/scx/bin/uninstall
scomadm ALL=(root) NOPASSWD: /bin/sh -c if test -f /opt/microsoft/omsagent/bin/omsadmin.sh; then if test "$(/opt/microsoft/omsagent/bin/omsadmin.sh -l | grep scom | wc -l)" \= "1" && test "$(/opt/microsoft/omsagent/bin/omsadmin.sh -l | wc -l)" \= "1" || test "$(/opt/microsoft/omsagent/bin/omsadmin.sh -l)" \= "No Workspace"; then /opt/microsoft/omsagent/bin/uninstall; else /opt/microsoft/omsagent/bin/omsadmin.sh -x scom; fi; else /opt/microsoft/scx/bin/uninstall; fi

## Log file monitoring
scomuser ALL=(root) NOPASSWD: /opt/microsoft/scx/bin/scxlogfilereader -p

### Examples ###
## Custom shell command monitoring example – replace \<shell command\> with the correct command string
#scomuser ALL=(root) NOPASSWD: /bin/sh -c echo error

## For ubuntu18
#scomuser ALL=(root) NOPASSWD: /bin/bash -c echo error

## Daemon diagnostic and restart recovery tasks example (using cron)
#scomuser ALL=(root) NOPASSWD: /bin/sh -c ps -ef | grep cron | grep -v grep
#scomuser ALL=(root) NOPASSWD: /usr/sbin/cron & 

# End user configuration for Operations Manager 
#-----------------------------------------------------------------------------------

Andere opdrachten

Wanneer u de methode ExecuteShellScript gebruikt om scripts met verhoogde bevoegdheid uit te voeren, voegt u de volgende regel toe aan het sudoers-bestand voor uw gebruiker:

scomuser ALL=(root) NOPASSWD: /etc/opt/microsoft/scx/conf/tmpdir/scx*

Deze regel is vereist omdat de executeShellScript-methode de inhoud van het script met verhoogde bevoegdheid kopieert naar een tijdelijk bestand met een willekeurig gegenereerde bestandsnaam in tmpdir en van daaruit uitvoert.

Wanneer u de methode ExecuteShellCommand gebruikt om opdrachten met verhoogde bevoegdheid uit te voeren, voegt u iets als dit toe aan uw sudoers-bestand:

• /bin/sh is de standaardshell van de gebruiker die de opdracht uitvoert, en (in dit voorbeeld).
• /usr/bin/vmstat -c is de opdracht die u wilt uitvoeren.

scomuser ALL=(root) NOPASSWD: /bin/sh -c /usr/bin/vmstat -c

Er mogen geen aanhalingstekens rond de opdracht staan, omdat deze alleen door de shell worden herkend, sudo niet.

Problemen oplossen

Sudo-foutenlogboek

Een van de beste manieren om verificatiefouten met betrekking tot sudoers-configuraties op te lossen, is het controleren van het sudo-logboek op de agenthost.

• Voor op RedHat gebaseerde besturingssystemen is /var/log/securede standaardlocatie van het logboek .
• Voor op Debian gebaseerde besturingssystemen is /var/log/auth.logde standaardlocatie van het logboek .

Controleer het /etc/sudoers bestand voor de logfile parameter om te zien waar het logboek momenteel naartoe wordt geschreven als u een ander besturingssysteem of aangepaste logboeklocatie gebruikt.

Wachtwoordprompts en time-outs

Sudo vraagt standaard om een wachtwoord als een opdracht niet is geconfigureerd met NOPASSWD voor de gebruiker, er is geen functionaliteit om automatisch wachtwoorden in te voeren wanneer hierom wordt gevraagd en de bewaking wordt verbroken. Om uitgebreide problemen te voorkomen als NOPASSWD niet is geconfigureerd voor een opdracht, is het raadzaam om de volgende optie in sudoers te configureren voor het gebruikersaccount:

Defaults:scomuser passwd_tries = 1, passwd_timeout = 1

In dit voorbeeld wordt een time-out voor de wachtwoordprompt van één minuut ingesteld voor de gebruikerscomuser, waardoor de opdracht snel kan mislukken als er een sudo-configuratieprobleem optreedt.

Wachtwoordfouten of andere verificatiefouten

Zie Beveiligingsreferenties voor toegang tot UNIX- en Linux-computers plannen voor richtlijnen voor wachtwoord- en verificatieconfiguraties.