ادغام چندین فایل (Merging multiple files)

هنگامی که چندین فایل ورودی مشخص شده باشند، cvtsudoers تلاش می‌کند تا آن‌ها را در یک فایل خط‌مشی واحد ادغام کند. فرض بر این است که نام‌های کاربری و گروه در میان فایل‌های خط‌مشی مورد نظر برای ادغام، یکپارچه و سازگار هستند. برای مثال، کاربر “bob” روی یک میزبان همان کاربر “bob” روی میزبان دیگر است.

هنگام ادغام فایل‌های خط‌مشی، این امکان وجود دارد که پیش از نام فایل ورودی، نام میزبان به همراه دونقطه (‘:’) قرار داده شود. هنگامی که فایل‌ها ادغام می‌شوند، از نام میزبان در صورت امکان برای محدود کردن قواعد خط‌مشی به آن میزبان خاص استفاده خواهد شد.

فرآیند ادغام به شرح زیر انجام می‌شود:

• هر فایل ورودی به ساختارهای داده داخلی sudoers تجزیه می‌شود.
• نام‌های مستعار ادغام شده و در صورت نیاز برای جلوگیری از تداخل تغییر نام می‌یابند. در صورت بروز تداخل، نخستین نام مستعار یافت‌شده دست‌نخورده باقی می‌ماند و نام‌های مستعار بعدی با همان نام با یک پسوند عددی که با زیرخط (‘_’) جدا شده است، تغییر نام داده می‌شوند. برای مثال، اگر دو نام مستعار متفاوت با نام SERVERS وجود داشته باشند، اولی دست‌نخورده باقی می‌ماند و دومی به SERVERS_1 تغییر نام می‌یابد. ارجاعات به نام مستعار تغییریافته نیز در فایل خط‌مشی به‌روزرسانی می‌شوند. نام‌های مستعار تکراری (آن‌هایی که محتوای کاملاً یکسان دارند) هرس می‌شوند.
• تنظیمات Defaults ادغام می‌شوند و موارد تکراری حذف می‌گردند. اگر در تنظیمات Defaults تداخلی وجود داشته باشد، برای هر تداخل یک هشدار صادر می‌شود. اگر یک نام میزبان همراه با فایل ورودی مشخص شده باشد، cvtsudoers تنظیمات سراسری Defaults در آن فایل را به تنظیمات مختص میزبان تغییر می‌دهد. برای تنظیمات Defaults خاص دستور، کاربر، یا runas که امکان تبدیل آن‌ها به تنظیمات مختص میزبان وجود ندارد، یک هشدار صادر می‌شود.
• قواعد به ازای هر کاربر ادغام می‌شوند و موارد تکراری حذف می‌گردند. اگر نام میزبان همراه با فایل ورودی مشخص شده باشد، cvtsudoers قواعدی را که نام میزبان ALL را مشخص کرده‌اند، به نام میزبان مرتبط با فایل خط‌مشی در حال ادغام تغییر می‌دهد. ادغام قواعد در حال حاضر نسبتاً ساده است اما در نسخه‌های بعدی بهبود خواهد یافت.

امکان ادغام فایل‌های خط‌مشی با قالب‌های مختلف وجود دارد.

فایل cvtsudoers.conf (The cvtsudoers.conf file)

گزینه‌ها در قالب “keyword = value” را می‌توان در یک فایل پیکربندی نیز مشخص کرد که به‌طور پیش‌فرض در /etc/cvtsudoers.conf قرار دارد. کلمات کلیدی زیر شناخته‌شده هستند:

defaults = deftypes

توضیحات گزینه خط فرمان -d را ببینید.

expand_aliases = yes | no

توضیحات گزینه خط فرمان -e را ببینید.

group_file = file

توضیحات گزینه خط فرمان --group-file را ببینید.

input_format = ldif | sudoers

توضیحات گزینه خط فرمان -i را ببینید.

match = filter

توضیحات گزینه خط فرمان -m را ببینید.

match_local = yes | no

توضیحات گزینه خط فرمان -M را ببینید.

order_increment = increment

توضیحات گزینه خط فرمان -I را ببینید.

order_start = start_point

توضیحات گزینه خط فرمان -O را ببینید.

output_format = csv | json | ldif | sudoers

توضیحات گزینه خط فرمان -f را ببینید.

padding = padding

توضیحات گزینه خط فرمان -P را ببینید.

passwd_file = file

توضیحات گزینه خط فرمان --passwd-file را ببینید.

prune_matches = yes | no

توضیحات گزینه خط فرمان -p را ببینید.

sudoers_base = dn

توضیحات گزینه خط فرمان -b را ببینید.

suppress = sections

توضیحات گزینه خط فرمان -s را ببینید.

گزینه‌های مشخص‌شده در خط فرمان، مقادیر موجود در فایل پیکربندی را نادیده گرفته و جایگزین (override) می‌کنند.

قالب خروجی JSON (JSON output format)

قالب JSON مربوط به sudoers می‌تواند شامل هر یک از اشیاء سطح بالای زیر باشد:

Defaults

آرایه‌ای از اشیاء، که هر کدام شامل یک آرایه Options و یک آرایه اختیاری Binding هستند.

آرایه Options شامل یک یا چند شیء است، که هر یک دارای یک جفت “name:value” منطبق بر یک تنظیم Defaults در sudoers هستند. گزینه‌هایی (Options) که روی یک فهرست عمل می‌کنند، همچنین شامل یک ورودی operation در شیء خواهند بود، با مقدار “list_assign” برای ‘=’, مقدار “list_add” برای ‘+=’, یا “list_remove” برای ‘-=’.

آرایه اختیاری Binding شامل یک یا چند شیء است که هر کدام دارای یک جفت “name:value” و یک ورودی اختیاری negated هستند که هر مقایسه انجام‌شده با آن شیء را نفی (معکوس) می‌کند. اگر یک Binding حضور داشته باشد، تنظیم تنها زمانی اعمال می‌شود که یکی از ورودی‌های مشخص‌شده command, hostname, netgroup, networkaddr, nonunixgid, nonunixgroup, usergid, usergroup, userid, username, یا نام‌های مستعار مطابقت داشته باشد.

برای مثال، ورودی sudoers زیر:

Defaults@somehost set_home, env_keep += DISPLAY

تبدیل می‌شود به:

"Defaults": [
    {
        "Binding": [
            { "hostname": "somehost" }
        ],
        "Options": [
            { "set_home": true },
            {
                "operation": "list_add",
                "env_keep": [
                    "DISPLAY"
                ]
            }
        ]
    }
]

User_Aliases

یک شیء JSON شامل یک یا چند ورودی User_Alias در sudoers است که در آن هر نام مستعار به عنوان مقدار خود، دارای آرایه‌ای شامل یک یا چند شیء است. هر شیء شامل یک جفت “name:value” و یک ورودی اختیاری negated است که هر مقایسه انجام‌شده با آن شیء را نفی می‌کند. نام می‌تواند یکی از موارد netgroup, nonunixgid, nonunixgroup, useralias, usergid, usergroup, userid, یا username باشد.

برای مثال، ورودی sudoers زیر:

User_Alias SYSADMIN = will, %wheel, +admin

تبدیل می‌شود به:

"User_Aliases": {
    "SYSADMIN": [
        { "username": "will" },
        { "usergroup": "wheel" },
        { "netgroup": "admin" }
    ]
}

Runas_Aliases

یک شیء JSON شامل یک یا چند ورودی Runas_Alias در sudoers است، که در آن هر نام مستعار به عنوان مقدار خود، دارای آرایه‌ای شامل یک یا چند شیء است. هر شیء شامل یک جفت “name:value” و یک ورودی اختیاری negated است که هر مقایسه انجام‌شده با آن شیء را نفی می‌کند. نام می‌تواند یکی از موارد netgroup, nonunixgid, nonunixgroup, runasalias, usergid, usergroup, userid, یا username باشد.

برای مثال، ورودی sudoers زیر:

Runas_Alias DB = oracle, sybase : OP = root, operator

تبدیل می‌شود به:

"Runas_Aliases": {
    "DB": [
        { "username": "oracle" },
        { "username": "sybase" }
    ],
    "OP": [
        { "username": "root" },
        { "username": "operator" }
    ]
}

Host_Aliases

یک شیء JSON شامل یک یا چند ورودی Host_Alias در sudoers است که در آن هر نام مستعار به عنوان مقدار خود، دارای آرایه‌ای شامل یک یا چند شیء است. هر شیء شامل یک جفت “name:value” و یک ورودی اختیاری negated است که هر مقایسه انجام‌شده با آن شیء را نفی می‌کند. نام می‌تواند یکی از موارد hostalias, hostname, netgroup, یا networkaddr باشد.

برای مثال، ورودی‌های sudoers زیر:

Host_Alias DORMNET = 128.138.243.0, 128.138.204.0/24
Host_Alias SERVERS = boulder, refuge

تبدیل می‌شوند به:

"Host_Aliases": {
    "DORMNET": [
        { "networkaddr": "128.138.243.0" },
        { "networkaddr": "128.138.204.0/24" }
    ],
    "SERVERS": [
        { "hostname": "boulder" },
        { "hostname": "refuge" }
    ]
}

Cmnd_Aliases

یک شیء JSON شامل یک یا چند ورودی Cmnd_Alias در sudoers است که در آن هر نام مستعار به عنوان مقدار خود، دارای آرایه‌ای شامل یک یا چند شیء است. هر شیء شامل یک جفت “name:value” و یک ورودی اختیاری negated است که هر مقایسه انجام‌شده با آن شیء را نفی می‌کند. نام می‌تواند یک cmndalias دیگر یا یک command باشد. برای مثال، ورودی‌های sudoers زیر:

Cmnd_Alias SHELLS = /bin/bash, /bin/csh, /bin/sh, /bin/zsh
Cmnd_Alias VIPW = /usr/bin/chpass, /usr/bin/chfn, /usr/bin/chsh, \
                  /usr/bin/passwd, /usr/sbin/vigr, /usr/sbin/vipw

تبدیل می‌شوند به:

"Cmnd_Aliases": {
    "SHELLS": [
        { "command": "/bin/bash" },
        { "command": "/bin/csh" },
        { "command": "/bin/sh" },
        { "command": "/bin/zsh" }
    ],
    "VIPW": [
        { "command": "/usr/bin/chpass" },
        { "command": "/usr/bin/chfn" },
        { "command": "/usr/bin/chsh" },
        { "command": "/usr/bin/passwd" },
        { "command": "/usr/sbin/vigr" },
        { "command": "/usr/sbin/vipw" }
    ]
}

User_Specs

یک آرایه JSON شامل یک یا چند شیء، که هر کدام نشان‌دهنده یک User_Spec در sudoers هستند. هر شیء در آرایه User_Specs باید شامل یک آرایه User_List, یک آرایه Host_List و یک آرایه Cmnd_Specs باشد.

یک User_List از یک یا چند شیء تشکیل می‌شود. هر شیء شامل یک جفت “name:value” و یک ورودی اختیاری negated است که هر مقایسه انجام‌شده با آن شیء را نفی می‌کند. نام می‌تواند یکی از موارد netgroup, nonunixgid, nonunixgroup, useralias, usergid, usergroup, userid, یا username باشد. اگر username بر روی مقدار ویژه ALL تنظیم شود، با هر کاربری مطابقت خواهد داشت.

یک Host_List شامل یک یا چند شیء است. هر شیء شامل یک جفت “name:value” و یک ورودی اختیاری negated است که هر مقایسه انجام‌شده با آن شیء را نفی می‌کند. نام می‌تواند یکی از موارد hostalias, hostname, netgroup, یا networkaddr باشد. اگر hostname بر روی مقدار ویژه ALL تنظیم شود، با هر میزبانی مطابقت خواهد داشت.

آرایه Cmnd_Specs شامل یک یا چند شیء JSON است که دستوری را که مجاز به اجرا است توصیف می‌کند. هر Cmnd_Specs از یک آرایه Commands, یک آرایه اختیاری runasusers, یک آرایه اختیاری runasgroups, و یک آرایه اختیاری Options تشکیل شده است.

آرایه Commands شامل یک یا چند شیء دارای عناصر جفت “name:value” است. نام‌ها و مقادیر زیر پشتیبانی می‌شوند:

command

رشته‌ای حاوی دستوری که باید اجرا شود. مقدار ویژه ALL با هر دستوری مطابقت خواهد داشت.

negated

یک مقدار بولی که اگر درست (true) باشد، هر مقایسه انجام‌شده با آن شیء را نفی می‌کند.

sha224

یک یا چند چکیده SHA224 برای command به شکل رشته. چندین چکیده از یک نوع به عنوان یک آرایه ذخیره می‌شوند.

sha256

یک یا چند چکیده SHA256 برای command به شکل رشته. چندین چکیده از یک نوع به عنوان یک آرایه ذخیره می‌شوند.

sha384

یک یا چند چکیده SHA384 برای command به شکل رشته. چندین چکیده از یک نوع به عنوان یک آرایه ذخیره می‌شوند.

sha512

یک یا چند چکیده SHA512 برای command به شکل رشته. چندین چکیده از یک نوع به عنوان یک آرایه ذخیره می‌شوند.

آرایه runasusers شامل اشیایی است که کاربرانی را توصیف می‌کنند که دستور می‌تواند به عنوان آن‌ها اجرا شود. هر شیء شامل یک جفت “name:value” و یک ورودی اختیاری negated است که هر مقایسه انجام‌شده با آن شیء را نفی می‌کند. نام می‌تواند یکی از موارد netgroup, nonunixgid, nonunixgroup, runasalias, usergid, usergroup, userid, یا username باشد. اگر username بر روی مقدار ویژه ALL تنظیم شود، با هر کاربری مطابقت خواهد داشت. اگر username بر روی رشته خالی “” تنظیم شود، با کاربر فراخواننده مطابقت خواهد داشت.

آرایه runasgroups شامل اشیایی است که گروه‌هایی را توصیف می‌کنند که دستور می‌تواند به عنوان آن‌ها اجرا شود. هر شیء شامل یک جفت “name:value” و یک ورودی اختیاری negated است که هر مقایسه انجام‌شده با آن شیء را نفی می‌کند. نام می‌تواند یکی از موارد runasalias, usergid, یا usergroup باشد. اگر usergroup بر روی مقدار ویژه ALL تنظیم شود، با هر گروهی مطابقت خواهد داشت.

آرایه Options دارای قالبی مشابه آرایه موجود در شیء Defaults است. هر ورودی Tag_Spec در sudoers به Options تبدیل می‌شود. یک کاربر با امتیازات “sudo ALL” به‌طور خودکار گزینه setenv را فعال خواهد داشت تا با رفتار ضمنی ارائه‌شده توسط sudoers مطابقت داشته باشد.

برای مثال، ورودی sudoers زیر:

millert ALL = (ALL : ALL) NOPASSWD: ALL, !/usr/bin/id

تبدیل می‌شود به:

"User_Specs": [
    {
        "User_List": [
            { "username": "millert" }
        ],
        "Host_List": [
            { "hostname": "ALL" }
        ],
        "Cmnd_Specs": [
            {
                "runasusers": [
                    { "username": "ALL" }
                ],
                "runasgroups": [
                    { "usergroup": "ALL" }
                ],
                "Options": [
                    { "authenticate": false },
                    { "setenv": true }
                ],
                "Commands": [
                    { "command": "ALL" },
                    {
                        "command": "/usr/bin/id",
                        "negated": true
                    }
                ]
            }
        ]
    }
]

قالب خروجی CSV (CSV output format)

فایل‌های CSV (مقادیر جداشده با کاما) اغلب توسط برنامه‌های صفحه‌گسترده و ابزارهای تولید گزارش استفاده می‌شوند. برای خروجی CSV، cvtsudoers رشته‌هایی را که دارای کاما هستند در گیومه دوتایی قرار می‌دهد. به ازای هر نویسه گیومه دوتایی واقعی موجود در داخل رشته، دو گیومه دوتایی چاپ می‌شود. این روش محصور کردن کاما با اغلب برنامه‌های صفحه‌گسترده سازگار است.

سه بخش ممکن در خروجی CSV دستور cvtsudoers وجود دارد که هر یک با یک خط خالی جدا می‌شوند:

defaults

این بخش شامل هر یک از تنظیمات Defaults در sudoers است. بخش defaults با سربرگ زیر آغاز می‌شود:

defaults_type,binding,name,operator,value

فیلدها به شرح زیر هستند:

defaults_type

نوع تنظیم Defaults; یکی از موارد defaults, defaults_command, defaults_host, defaults_runas, یا defaults_user.

binding

برای defaults_command, defaults_host, defaults_runas, و defaults_user این مقداری است که برای اعمال تنظیم باید مطابقت داشته باشد.

name

نام تنظیم Defaults.

operator

عملگر مشخص می‌کند که مقدار چگونه بر روی تنظیم اعمال شود. این مقدار می‌تواند یکی از موارد ‘=’ (انتساب)، ‘+=’ (افزودن)، یا ‘-=’ (حذف) باشد.

value

مقدار تنظیم، معمولاً یک رشته است یا برای تنظیماتی که در زمینه بولی استفاده می‌شوند، true یا false.

aliases

این بخش شامل هر یک از ورودی‌های Cmnd_Alias, Host_Alias, Runas_Alias, یا User_Alias از sudoers است. بخش aliases با سربرگ زیر آغاز می‌شود:

alias_type,alias_name,members

فیلدها به شرح زیر هستند:

alias_type

نوع نام مستعار؛ یکی از موارد Cmnd_Alias, Host_Alias, Runas_Alias, یا User_Alias.

alias_name

نام این نام مستعار؛ رشته‌ای که با یک حرف بزرگ انگلیسی آغاز می‌شود و شامل حروف بزرگ انگلیسی، ارقام یا زیرخط است.

members

فهرستی جداشده با کاما از اعضای متعلق به این نام مستعار. به دلیل استفاده از کاما، اگر members شامل بیش از یک عضو باشد، در گیومه دوتایی محصور می‌شود.

rules

این بخش شامل قواعد sudoers است که امتیازات را اعطا می‌کنند. بخش rules با سربرگ زیر آغاز می‌شود:

rule,user,host,runusers,rungroups,options,command

فیلدها به شرح زیر هستند:

rule

این فیلد نشان‌دهنده یک ورودی rule در sudoers است.

user

کاربری که قاعده بر او اعمال می‌شود. همچنین می‌تواند یک گروه یونیکس (با پیشوند نویسه ‘%’ )، یک گروه غیر یونیکس (با پیشوند ‘%:’) یا یک نت‌گروپ (با پیشوند نویسه ‘+’ ) یا یک User_Alias باشد. اگر بر روی مقدار ویژه ALL تنظیم شود، با هر کاربری مطابقت خواهد داشت.

host

میزبانی که قاعده بر آن اعمال می‌شود. همچنین می‌تواند یک نت‌گروپ (با پیشوند نویسه ‘+’ ) یا یک Host_Alias باشد. اگر بر روی مقدار ویژه ALL تنظیم شود، با هر میزبانی مطابقت خواهد داشت.

runusers

یک فهرست اختیاری جداشده با کاما از کاربرانی (یا Runas_Aliasها) که دستور می‌تواند به عنوان آن‌ها اجرا شود. اگر شامل بیش از یک عضو باشد، مقدار در گیومه دوتایی محصور می‌شود. اگر بر روی مقدار ویژه ALL تنظیم شود، با هر کاربری مطابقت خواهد داشت. اگر خالی باشد، کاربر root فرض می‌شود.

rungroups

یک فهرست اختیاری جداشده با کاما از گروه‌هایی (یا Runas_Aliasها) که دستور می‌تواند به عنوان آن‌ها اجرا شود. اگر شامل بیش از یک عضو باشد، مقدار در گیومه دوتایی محصور می‌شود. اگر بر روی مقدار ویژه ALL تنظیم شود، با هر گروهی مطابقت خواهد داشت. اگر خالی باشد، گروه runuser استفاده می‌شود.

options

یک فهرست اختیاری از تنظیمات Defaults برای اعمال بر روی دستور. هر ورودی Tag_Spec در sudoers به options تبدیل می‌شود.

commands

فهرستی از دستورات، همراه با آرگومان‌های اختیاری، که کاربر مجاز به اجرای آن‌ها است. اگر بر روی مقدار ویژه ALL تنظیم شود، با هر دستوری مطابقت خواهد داشت.

برای مثال، ورودی sudoers زیر:

millert ALL = (ALL : ALL) NOPASSWD: ALL, !/usr/bin/id

تبدیل می‌شود به:

rule,millert,ALL,ALL,ALL,"!authenticate","ALL,!/usr/bin/id"