.\" Automatically generated by Pandoc 3.6.3
.\"
.TH "SUDOERS" "5" "" "sudo\-rs 0.2.15" "sudo\-rs"
.SH نام
\f[CR]sudoers\f[R] \- پیکربندی امنیتی سازگار با sudo
.SH شرح
خط‌مشی \f[CR]sudo\-rs\f[R] امتیازات sudo کاربر را تعیین می‌کند.
این خط‌مشی توسط \f[I]پرونده /etc/sudoers\f[R] هدایت می‌شود.
قالب خط‌مشی به تفصیل در بخش \f[B]قالب پرونده SUDOERS\f[R] شرح داده شده است.
.PP
قالب استفاده‌شده توسط sudo\-rs زیرمجموعه‌ای از قالبی است که توسط پروژه sudo
به نگهداری تاد میلر (Todd Miller) استفاده می‌شود، اما از نظر نحو سازگار است.
.SS احراز هویت کاربر
خط‌مشی امنیتی sudoers ایجاب می‌کند که بیشتر کاربران پیش از آنکه بتوانند
از sudo استفاده کنند، هویت خود را احراز کنند.
اگر کاربر فراخواننده root باشد، اگر کاربر هدف همان کاربر فراخواننده باشد،
یا اگر خط‌مشی احراز هویت را برای آن کاربر یا دستور غیرفعال کرده باشد، گذرواژه لازم نیست.
برخلاف \f[CR]su\f[R]، هنگامی که \f[CR]sudo\-rs\f[R] نیازمند احراز هویت است،
اعتبارنامه‌های کاربر فراخواننده را می‌سنجد، نه اعتبارنامه‌های کاربر هدف
(یا root) را.
این رفتار می‌تواند از طریق پرچم \f[I]rootpw\f[R] که بعداً شرح داده شده است، تغییر یابد.
.PP
برنامه \f[CR]sudo\-rs\f[R] برای ذخیره موقت اعتبارنامه‌ها از پرونده‌های مهرزمانی
به‌ازای هر کاربر استفاده می‌کند.
پس از آنکه کاربری احراز هویت شد، رکوردی نوشته می‌شود شامل شناسه کاربری (user-ID)
که برای احراز هویت به کار رفته است، شناسه نشست پایانه، زمان آغاز سرنشست
(یا فرایند والد) و یک مهرزمانی (با استفاده از ساعت یکنواخت در صورت در دسترس بودن).
کاربر سپس می‌تواند برای مدت کوتاهی بدون گذرواژه از sudo استفاده کند
(۱۵ دقیقه مگر آنکه با گزینه timestamp_timeout بازنویسی شود).
برنامه \f[CR]sudo\-rs\f[R] برای هر پایانه از رکوردی جداگانه استفاده می‌کند، بدین
معنا که نشست‌های ورود کاربر به طور جداگانه احراز هویت می‌شوند.
.SS گزارش‌گیری
به‌طور پیش‌فرض، \f[CR]sudo\-rs\f[R] هم تلاش‌های موفق و هم ناموفق
(و نیز خطاها) را گزارش می‌کند.
پیام‌ها به syslog(3) ارسال می‌شوند.
.SS محیط دستور
از آنجا که متغیرهای محیطی می‌توانند بر رفتار برنامه اثر بگذارند،
\f[CR]sudo\-rs\f[R] متغیرهایی را که از محیط کاربر توسط دستوری که باید اجرا شود
به ارث برده می‌شوند، محدود می‌کند.
.PP
در \f[CR]sudo\-rs\f[R]، پرچم \f[I]env_reset\f[R] نمی‌تواند غیرفعال شود.
این امر موجب می‌شود دستورها با یک محیط جدید و کمینه اجرا شوند.
متغیرهای محیطی \f[CR]HOME\f[R]، \f[CR]SHELL\f[R]، \f[CR]LOGNAME\f[R] و
\f[CR]USER\f[R] بر پایه کاربر هدف مقداردهی اولیه می‌شوند و متغیرهای \f[CR]SUDO_*\f[R]
بر پایه کاربر فراخواننده تنظیم می‌گردند.
متغیرهای دیگر، مانند \f[CR]DISPLAY\f[R]، \f[CR]PATH\f[R] و \f[CR]TERM\f[R]،
در صورتی که گزینه‌های \f[I]env_check\f[R] یا \f[I]env_keep\f[R] اجازه دهند، از محیط
کاربر فراخواننده نگه داشته می‌شوند.
با چند متغیر محیطی به شکل ویژه رفتار می‌شود.
اگر متغیرهای \f[CR]PATH\f[R] و \f[CR]TERM\f[R] از محیط کاربر نگه‌داری نشوند،
به مقادیر پیش‌فرض تنظیم خواهند شد.
با \f[CR]LOGNAME\f[R] و \f[CR]USER\f[R] به عنوان موجودیتی واحد رفتار می‌شود.
اگر یکی از آنها از محیط کاربر حفظ شود (یا حذف شود)، دیگری نیز چنین خواهد شد.
اگر قرار باشد \f[CR]LOGNAME\f[R] و \f[CR]USER\f[R] حفظ شوند اما تنها یکی از آنها
در محیط کاربر موجود باشد، دیگری به همان مقدار تنظیم خواهد شد.
این کار از ناسازگاری در محیط جلوگیری می‌کند؛ وضعیتی که در آن یکی از متغیرهای
توصیف‌کننده نام کاربری روی کاربر فراخواننده و دیگری روی کاربر هدف تنظیم شده باشد.
متغیرهای محیطی با مقداری که با \f[CR]()\f[R] آغاز می‌شود حذف می‌شوند، زیرا
ممکن است توسط پوسته bash به عنوان تابع تفسیر شوند.
.PP
متغیرهای محیطی مشخص‌شده با \f[I]env_check\f[R] یا \f[I]env_keep\f[R] ممکن است
شامل یک یا چند نویسه `*' باشند که با صفر یا چند نویسه تطابق می‌یابد.
هیچ نویسه عام (wildcard) دیگری پشتیبانی نمی‌شود.
گزینه‌های دیگر sudoers ممکن است بر محیط دستور اثر بگذارند، مانند \f[I]secure_path\f[R].
.PP
متغیرهای محیط PAM ممکن است با محیط ترکیب شوند.
اگر متغیری در محیط PAM از قبل در محیط کاربر وجود داشته باشد، مقدار آن تنها در صورتی
بازنویسی می‌شود که آن متغیر توسط \f[CR]sudo\-rs\f[R] حفظ نشده باشد.
متغیرهای حفظ‌شده از محیط کاربر فراخواننده توسط فهرست \f[I]env_keep\f[R] بر
متغیرهای موجود در محیط PAM اولویت دارند.
.PP
توجه داشته باشید که پیونددهنده پویا در بیشتر سیستم‌عامل‌ها متغیرهایی را که می‌توانند
پیوند پویای برنامه‌های set\-user\-ID (از جمله sudo) را مهار کنند، از محیط حذف می‌کند.
بسته به سیستم‌عامل این موارد ممکن است شامل \f[CR]_RLD*\f[R]،
\f[CR]DYLD_*\f[R]، \f[CR]LD_*\f[R]، \f[CR]LDR_*\f[R]،
\f[CR]LIBPATH\f[R]، \f[CR]SHLIB_PATH\f[R] و موارد دیگر باشد.
این دست متغیرها پیش از آنکه حتی اجرای sudo آغاز شود از محیط حذف می‌شوند، و
بنابراین امکان نگهداری آنها برای sudo وجود ندارد.
.SS محدودیت‌های منابع
برنامه sudo از روش بومی سیستم‌عامل برای تنظیم محدودیت‌های منابع جهت کاربر هدف استفاده می‌کند.
روی سیستم‌های لینوکس، محدودیت‌های منابع معمولاً توسط پیمانه PAM به نام
\f[I]pam_limits.so\f[R] تنظیم می‌شوند.
روی برخی سیستم‌های BSD، پرونده \f[I]/etc/login.conf\f[R] محدودیت‌های منابع را
برای کاربر مشخص می‌کند.
اگر سازوکاری در سیستم برای تنظیم محدودیت‌های منابع به‌ازای هر کاربر نباشد، دستور
با همان محدودیت‌های کاربر فراخواننده اجرا خواهد شد.
.SH قالب پرونده SUDOERS
پرونده sudoers از دو نوع مدخل تشکیل شده است: نام‌های مستعار (اساساً متغیرها)
و مشخصات کاربری (که تعیین می‌کنند چه کسی مجاز به اجرای چه چیزی است).
.PP
هنگامی که چند مدخل با یک کاربر تطابق یابند، به ترتیب اعمال می‌شوند.
در صورت وجود چند تطابق، آخرین تطابق به کار می‌رود (که لزوماً خاص‌ترین
تطابق نیست).
.PP
دستور زبان پرونده sudoers در ادامه به صورت فرم باکوس\-نائور گسترش‌یافته (EBNF)
برگرفته از مستندات sudoers تاد میلر شرح داده می‌شود.
.SS راهنمای سریع EBNF
فرمت EBNF روشی موجز و دقیق برای توصیف دستور زبان یک زبان است.
هر تعریف EBNF از قواعد تولید تشکیل شده است.
برای نمونه،
.IP
.EX
 symbol ::= definition | alternate1 | alternate2 ...
.EE
.PP
هر قاعده تولید به قواعد دیگری ارجاع می‌دهد و بدین ترتیب دستور زبانی برای
آن زبان پدید می‌آورد.
فرمت EBNF همچنین عملگرهای زیر را دربردارد که بسیاری از خوانندگان از عبارات منظم
می‌شناسند.
با این حال، آنها را با نویسه‌های \[lq]عام\[rq] که معانی متفاوتی دارند اشتباه نگیرید.
.IP
.EX
 ?     Means that the preceding symbol (or group of symbols) is optional.  That is, it may appear once or not at all.

 *     Means that the preceding symbol (or group of symbols) may appear zero or more times.

 +     Means that the preceding symbol (or group of symbols) may appear one or more times.
.EE
.PP
پرانتزها می‌توانند برای گروه‌بندی نمادها با یکدیگر استفاده شوند.
برای وضوح، از گیومه‌های تکی (\[cq]\[cq]) برای نشان دادن رشته نویسه‌ای دقیق
(در برابر نام نماد) استفاده می‌کنیم.
.SS نام‌های مستعار (Aliases)
چهار گونه نام مستعار وجود دارد: User_Alias، Runas_Alias، Host_Alias و
Cmnd_Alias.
.IP
.EX
 Alias ::= \[aq]User_Alias\[aq]  User_Alias_Spec (\[aq]:\[aq] User_Alias_Spec)* |
           \[aq]Runas_Alias\[aq] Runas_Alias_Spec (\[aq]:\[aq] Runas_Alias_Spec)* |
           \[aq]Host_Alias\[aq]  Host_Alias_Spec (\[aq]:\[aq] Host_Alias_Spec)* |
           \[aq]Cmnd_Alias\[aq]  Cmnd_Alias_Spec (\[aq]:\[aq] Cmnd_Alias_Spec)* |
           \[aq]Cmd_Alias\[aq]   Cmnd_Alias_Spec (\[aq]:\[aq] Cmnd_Alias_Spec)*

 User_Alias ::= NAME

 User_Alias_Spec ::= User_Alias \[aq]=\[aq] User_List

 Runas_Alias ::= NAME

 Runas_Alias_Spec ::= Runas_Alias \[aq]=\[aq] Runas_List

 Host_Alias ::= NAME

 Host_Alias_Spec ::= Host_Alias \[aq]=\[aq] Host_List

 Cmnd_Alias ::= NAME

 Cmnd_Alias_Spec ::= Cmnd_Alias \[aq]=\[aq] Cmnd_List

 NAME ::= [A\-Z]([A\-Z][0\-9]_)*
.EE
.PP
تعریف هر نام مستعار به صورت زیر است:
.IP
.EX
 Alias_Type NAME = item1, item2, ...
.EE
.PP
که در آن \f[I]Alias_Type\f[R] یکی از User_Alias، Runas_Alias،
Host_Alias، یا Cmnd_Alias است.
یک NAME رشته‌ای از حروف بزرگ، اعداد و نویسه‌های زیرخط (\[cq]_\[cq]) است.
یک NAME باید با یک حرف بزرگ آغاز شود.
امکان قرار دادن چندین تعریف نام مستعار از یک نوع روی یک سطر، با اتصال توسط
دونقطه (`:') وجود دارد.
برای نمونه،
.IP
.EX
 Alias_Type NAME = item1, item2, item3 : NAME = item4, item5
.EE
.PP
تعاریف آنچه یک عضو معتبر نام مستعار را تشکیل می‌دهد در پی می‌آید.
.IP
.EX
 User_List ::= User |
               User \[aq],\[aq] User_List

 User ::= \[aq]!\[aq]* user name |
          \[aq]!\[aq]* #user\-ID |
          \[aq]!\[aq]* %group |
          \[aq]!\[aq]* %#group\-ID |
          \[aq]!\[aq]* User_Alias
.EE
.PP
یک User_List از یک یا چند نام کاربری، شناسه کاربری (با پیشوند `#')،
نام‌های گروه سیستم و شناسه‌های گروه (به ترتیب با پیشوندهای `%' و `%#')
و User_Aliasها تشکیل شده است.
هر قلم در فهرست می‌تواند با صفر یا چند عملگر `!' پیشوند شود.
تعداد فردی از عملگرهای `!' مقدار آن قلم را نفی می‌کنند؛ تعداد زوج صرفاً
اثر یکدیگر را خنثی می‌کنند.
.IP
.EX
 Runas_List ::= Runas_Member |
                Runas_Member \[aq],\[aq] Runas_List

 Runas_Member ::= \[aq]!\[aq]* user name |
                  \[aq]!\[aq]* #user\-ID |
                  \[aq]!\[aq]* %group |
                  \[aq]!\[aq]* %#group\-ID |
                  \[aq]!\[aq]* Runas_Alias
.EE
.PP
یک Runas_List شبیه به User_List است با این تفاوت که به جای
User_Alias می‌تواند Runas_Alias را دربرگیرد.
توجه داشته باشید که نام‌های کاربری و گروه‌ها به صورت رشته مطابقت داده می‌شوند.
به بیان دیگر، دو کاربر (گروه) با شناسه کاربری (گروه) یکسان، متمایز در نظر گرفته می‌شوند.
اگر می‌خواهید تمام نام‌های کاربری با شناسه کاربری یکسان (مانند root و toor)
را تطابق دهید، می‌توانید به جای نام از شناسه کاربری (\f[CR]#0\f[R] در مثال یادشده)
استفاده کنید.
.IP
.EX
 Host_List ::= Host |
               Host \[aq],\[aq] Host_List

 Host ::= \[aq]!\[aq]* host name |
          \[aq]!\[aq]* Host_Alias
.EE
.PP
یک Host_List از یک یا چند نام میزبان تشکیل می‌شود.
باز هم، مقدار یک قلم می‌تواند با عملگر `!' نفی شود.
.IP
.EX
 Cmnd_List ::= Cmnd |
               Cmnd \[aq],\[aq] Cmnd_List

 command name ::= file name |
                  file name args [\[aq]*\[aq]] |
                  file name \[aq]\[dq]\[dq]\[aq]

 Cmnd ::= \[aq]!\[aq]* command name |
          \[aq]!\[aq]* directory |
          \[aq]!\[aq]* Cmnd_Alias
          \[aq]!\[aq]* \[dq]list\[dq]
          \[aq]!\[aq]* \[dq]sudoedit\[dq] [file name]
.EE
.PP
یک Cmnd_List فهرستی از یک یا چند نام دستور، دایرکتوری و نام‌های مستعار دیگر است.
یک نام دستور، یک نام پرونده کاملاً واجد شرایط (مسیر کامل) است که ممکن است شامل نویسه‌های عام
سبک پوسته باشد (بخش \f[I]نویسه‌های عام\f[R] را در زیر ببینید).
یک نام پرونده ساده به کاربر اجازه می‌دهد دستور را با هر آرگومانی که می‌خواهد اجرا کند.
با این حال، شما همچنین می‌توانید آرگومان‌های خط فرمانی را تعیین کنید که باید
به کار روند؛ در این حالت خط فرمان باید دقیقاً تطابق یابد.
می‌توانید از آرگومان ویژه \[lq]\[rq] استفاده کنید تا نشان دهید دستور تنها می‌تواند
\f[I]بدون\f[R] آرگومان خط فرمان اجرا شود، یا آرگومان \[cq]*\[cq] برای تطابق با هر آرگومان پایانی.
نمی‌توانید از نویسه‌های عام درون فهرست آرگومان‌ها استفاده کنید.
یک دایرکتوری، یک مسیر کامل است که به `/' ختم می‌شود.
هنگامی که یک دایرکتوری را در Cmnd_List مشخص می‌کنید، کاربر قادر خواهد بود
هر پرونده‌ای را درون آن دایرکتوری اجرا کند (اما نه در هیچ‌یک از زیردایرکتوری‌های آن).
.PP
اگر یک Cmnd دارای آرگومان‌های خط فرمان وابسته باشد، آنگاه آرگومان‌های موجود
در Cmnd باید دقیقاً با آنچه توسط کاربر در خط فرمان داده شده تطابق داشته باشند.
توجه داشته باشید که نویسه‌های زیر در صورت استفاده در آرگومان‌های دستور باید با `\[rs]' فرار (escape) داده شوند:
`,', `:', `=', `\[rs]'.
.PP
دو دستور توکار در درون خود sudo وجود دارند: \[lq]list\[rq] و
\[lq]sudoedit\[rq].
برخلاف سایر دستورها، این دو باید بدون مسیر اولیه در پرونده sudoers مشخص شوند.
.PP
دستور توکار \[lq]list\[rq] می‌تواند برای اجازه دادن به یک کاربر جهت فهرست کردن
امتیازات کاربر دیگر با گزینه \-U در sudo استفاده شود.
برای نمونه، \[lq]sudo \-l \-U otheruser\[rq].
کاربری با امتیاز \[lq]list\[rq] قادر است امتیازات کاربر دیگری را فهرست کند حتی اگر
اجازه اجرای دستورها به عنوان آن کاربر را نداشته باشد.
به‌طور پیش‌فرض، تنها root یا کاربری با قابلیت اجرای هر دستوری به عنوان root
یا کاربر مشخص‌شده روی میزبان جاری می‌تواند از گزینه \-U استفاده کند.
هیچ آرگومان خط فرمانی نمی‌تواند با دستور توکار \[lq]list\[rq] مشخص شود.
.PP
دستور توکار \[lq]sudoedit\[rq] برای اجازه دادن به کاربر جهت اجرای sudo
با گزینه \-e (یا به صورت sudoedit) استفاده می‌شود.
این دستور می‌تواند درست مانند یک دستور عادی آرگومان‌های خط فرمان دریافت کند.
برخلاف سایر دستورها، \[lq]sudoedit\[rq] درون خود sudo تعبیه شده است و
باید بدون مسیر اولیه در پرونده sudoers مشخص شود.
اگر یک مسیر اولیه وجود داشته باشد، برای نمونه /usr/bin/sudoedit، این کار به کاربر
مجوز استفاده از sudoedit را نخواهد داد.
اگر هیچ آرگومانی ارائه نشود، \[lq]sudoedit\[rq] به کاربر مجوز ویرایش هر پرونده‌ای را
می‌دهد؛ اگر آرگومانی حاضر باشد، باید یک مسیر مطلق باشد که حاوی پیوندهای نمادین نباشد،
وگرنه دستور تطابق داده نخواهد شد.
.SS پیش‌فرض‌ها (Defaults)
برخی گزینه‌های پیکربندی ممکن است در زمان اجرا از مقادیر پیش‌فرض خود
از طریق یک یا چند سطر Default_Entry تغییر یابند.
این موارد می‌توانند بر همه کاربران روی هر میزبانی، همه کاربران روی یک میزبان خاص،
یک کاربر خاص، یک دستور خاص، یا دستورهایی که به عنوان یک کاربر خاص اجرا می‌شوند اثر بگذارند.
توجه داشته باشید که مدخل‌های به‌ازای هر دستور نمی‌توانند شامل آرگومان‌های خط فرمان باشند.
اگر نیاز به تعیین آرگومان‌ها دارید، یک Cmnd_Alias تعریف کرده و به جای آن به آن ارجاع دهید.
.IP
.EX
 Default_Type ::= \[aq]Defaults\[aq] |
                  \[aq]Defaults\[aq] \[aq]\[at]\[aq] Host_List |
                  \[aq]Defaults\[aq] \[aq]:\[aq] User_List |
                  \[aq]Defaults\[aq] \[aq]!\[aq] Cmnd_List |
                  \[aq]Defaults\[aq] \[aq]>\[aq] Runas_List

 Default_Entry ::= Default_Type Parameter_List

 Parameter_List ::= Parameter |
                    Parameter \[aq],\[aq] Parameter_List

 Parameter ::= Parameter \[aq]=\[aq] Value |
               Parameter \[aq]+=\[aq] Value |
               Parameter \[aq]\-=\[aq] Value |
               \[aq]!\[aq]* Parameter
.EE
.PP
پارامترها می‌توانند پرچم‌ها، مقادیر عددی صحیح، رشته‌ها، یا فهرست‌ها باشند.
پرچم‌ها به طور ضمنی بولی هستند و می‌توانند از طریق عملگر `!' خاموش شوند.
برخی پارامترهای عددی صحیح، رشته‌ای و فهرستی نیز ممکن است در زمینه بولی برای غیرفعال کردن آنها به کار روند.
مقادیر در صورت دربرداشتن چندین کلمه می‌توانند در گیومه دوتایی (\[lq]\[lq]) قرار گیرند.
نویسه‌های ویژه را می‌توان با یک ممیز وارونه (`\[rs]') فرار داد.
.PP
برای گنجاندن نویسه ممیز وارونه دقیق در یک آرگومان خط فرمان باید
ممیز وارونه را دو بار فرار دهید.
برای نمونه، برای تطابق `\[rs]n' به عنوان بخشی از آرگومان خط فرمان، باید
از `\[rs]\[rs]\[rs]\[rs]n' در پرونده sudoers استفاده کنید.
این به دلیل وجود دو سطح فراردهی است، یکی در تجزیه‌گر sudoers به خودی خود
و دیگری زمانی که آرگومان‌های خط فرمان توسط تابع fnmatch(3) تطابق داده می‌شوند.
.PP
فهرست‌ها دارای دو عملگر انتساب اضافی هستند، \f[I]+=\f[R] و \f[I]\-=\f[R].
این عملگرها به ترتیب برای افزودن به یک فهرست و حذف از آن به کار می‌روند.
استفاده از عملگر \-= برای حذف عنصری که در یک فهرست وجود ندارد، خطا نیست.
.PP
مدخل‌های پیش‌فرض به ترتیب زیر تجزیه می‌شوند: پیش‌فرض‌های عمومی، میزبان، کاربر،
و runas به ترتیبی که ظاهر می‌شوند پردازش می‌گردند، و پیش‌فرض‌های به‌ازای هر دستور
در گام دوم پس از آن پردازش می‌شوند.
.PP
برای فهرستی از پارامترهای پشتیبانی‌شده Defaults، بخش \f[B]گزینه‌های SUDOERS\f[R] را ببینید.
.SS مشخصات کاربر (User specification)
.IP
.EX
 User_Spec ::= User_List Host_List \[aq]=\[aq] Cmnd_Spec_List \[rs]
               (\[aq]:\[aq] Host_List \[aq]=\[aq] Cmnd_Spec_List)*

 Cmnd_Spec_List ::= Cmnd_Spec |
                    Cmnd_Spec \[aq],\[aq] Cmnd_Spec_List

 Cmnd_Spec ::= Runas_Spec? Chdir_Spec? Tag_Spec* Cmnd

 Runas_Spec ::= \[aq](\[aq] Runas_List? (\[aq]:\[aq] Runas_List)? \[aq])\[aq]

 Chdir_Spec ::= \[aq]CWD=directory\[aq]

 Tag_Spec ::= (\[aq]PASSWD:\[aq] | \[aq]NOPASSWD:\[aq] |
               \[aq]SETENV:\[aq] | \[aq]NOSETENV:\[aq]
               \[aq]EXEC:\[aq]   | \[aq]NOEXEC\[aq])

 AppArmor_Spec ::= \[aq]APPARMOR_PROFILE=profile\[aq]
.EE
.PP
یک مشخصه کاربر تعیین می‌کند که یک کاربر مجاز به اجرای چه دستورهایی (و به عنوان چه کاربری)
روی میزبان‌های مشخص‌شده است.
به‌طور پیش‌فرض، دستورها به عنوان root اجرا می‌شوند، اما این رفتار می‌تواند
به‌ازای هر دستور تغییر یابد.
.PP
ساختار پایه یک مشخصه کاربر چنین است: \[lq]who where = (as_whom) what\[rq] (چه کسی در کجا = (به‌عنوان چه کسی) چه چیزی).
بیایید آن را به بخش‌های تشکیل‌دهنده‌اش تفکیک کنیم:
.SS Runas_Spec
یک Runas_Spec کاربر و/یا گروهی را که یک دستور ممکن است به عنوان آن اجرا شود، تعیین می‌کند.
یک Runas_Spec کامل شامل دو Runas_List (همان‌طور که در بالا تعریف شد) است که با
یک دونقطه (`:') از هم جدا شده و در یک جفت پرانتز محصور شده‌اند.
نخستین Runas_List مشخص می‌کند که دستور از طریق گزینه \-u می‌تواند به عنوان چه کاربرانی اجرا شود.
دومین مورد فهرستی از گروه‌ها را تعریف می‌کند که ممکن است از طریق گزینه \-g مشخص شوند
(افزون بر هریک از گروه‌های کاربر هدف).
اگر هر دو Runas_List مشخص شده باشند، دستور می‌تواند با هر ترکیبی از کاربران و گروه‌های
فهرست‌شده در Runas_List مربوط به خودشان اجرا شود.
اگر تنها مورد نخست مشخص شده باشد، دستور می‌تواند به عنوان هر کاربری در فهرست و به صورت اختیاری
با هر گروهی که کاربر هدف به آن تعلق دارد اجرا شود.
اگر نخستین Runas_List خالی باشد اما دومی مشخص شده باشد، دستور می‌تواند به عنوان
کاربر فراخواننده با گروهی تنظیم‌شده روی هریک از موارد فهرست‌شده در Runas_List اجرا شود.
اگر هر دو Runas_List خالی باشند، دستور تنها می‌تواند به عنوان کاربر فراخواننده اجرا شود
و گروه، در صورت تعیین شدن، باید گروهی باشد که کاربر فراخواننده عضوی از آن است.
اگر هیچ Runas_Specای مشخص نشده باشد، دستور تنها می‌تواند به عنوان root اجرا شود و گروه،
در صورت تعیین شدن، باید گروهی باشد که root عضوی از آن است.
.PP
یک Runas_Spec پیش‌فرضی برای دستورهای پس از خود تعیین می‌کند.
معنای این امر آن است که برای مدخل زیر:
.IP
.EX
 dgb     boulder = (operator) /bin/ls, /bin/kill, /usr/bin/lprm
.EE
.PP
کاربر dgb می‌تواند /bin/ls، /bin/kill و /usr/bin/lprm را روی میزبان boulder اجرا کند\[em]اما
تنها به عنوان operator.
برای نمونه،
.IP
.EX
 $ sudo \-u operator /bin/ls
.EE
.PP
همچنین می‌توان یک Runas_Spec را بعداً در یک مدخل بازنویسی کرد.
اگر مدخل را بدین‌گونه تغییر دهیم:
.IP
.EX
 dgb     boulder = (operator) /bin/ls, (root) /bin/kill, /usr/bin/lprm
.EE
.PP
آنگاه کاربر dgb اکنون مجاز است /bin/ls را به عنوان operator، اما /bin/kill
و /usr/bin/lprm را به عنوان root اجرا کند.
.PP
می‌توانیم این را گسترش دهیم تا به dgb اجازه دهیم /bin/ls را با کاربر یا گروه
تنظیم‌شده روی operator اجرا کند:
.IP
.EX
 dgb     boulder = (operator : operator) /bin/ls, (root) /bin/kill,\[rs]
         /usr/bin/lprm
.EE
.PP
توجه داشته باشید که در حالی که بخش گروه در Runas_Spec به کاربر اجازه می‌دهد دستوری
را با آن گروه اجرا کند، کاربر را وادار به این کار نمی‌کند.
اگر هیچ گروهی در خط فرمان مشخص نشود، دستور با گروه فهرست‌شده در مدخل پایگاه داده
گذرواژه کاربر هدف اجرا خواهد شد.
موارد زیر همگی توسط مدخل sudoers بالا مجاز خواهند بود:
.IP
.EX
 $ sudo \-u operator /bin/ls
 $ sudo \-u operator \-g operator /bin/ls
 $ sudo \-g operator /bin/ls
.EE
.PP
در نمونه زیر، کاربر tcm می‌تواند دستورهایی را اجرا کند که به یک پرونده دستگاه مودم
با گروه dialer دسترسی دارند:
.IP
.EX
 tcm     boulder = (:dialer) /usr/bin/tip, /usr/bin/cu,\[rs]
         /usr/local/bin/minicom
.EE
.PP
توجه داشته باشید که در این نمونه تنها گروه تنظیم خواهد شد، و دستور همچنان
به عنوان کاربر tcm اجرا می‌شود.
برای نمونه:
.IP
.EX
 $ sudo \-g dialer /usr/bin/cu
.EE
.PP
چندین کاربر و گروه می‌توانند در یک Runas_Spec حاضر باشند، که در این حالت کاربر
می‌تواند هر ترکیبی از کاربران و گروه‌ها را از طریق گزینه‌های \-u و \-g برگزیند.
در این نمونه:
.IP
.EX
 alan    ALL = (root, bin : operator, system) ALL
.EE
.PP
کاربر alan می‌تواند هر دستوری را به عنوان کاربر root یا bin اجرا کند، و
به صورت اختیاری گروه را روی operator یا system تنظیم نماید.
.SS Chdir_Spec
دایرکتوری کاری که دستور در آن اجرا خواهد شد می‌تواند با استفاده از تنظیم CWD مشخص شود.
دایرکتوری باید یک مسیر کامل باشد که با یک نویسه `/' یا `\[ti]' آغاز می‌شود، یا مقدار
ویژه \[lq]*\[rq].
مقدار \[lq]*\[rq] نشان می‌دهد که کاربر می‌تواند با اجرای sudo به همراه گزینه \-D
دایرکتوری کاری را تعیین کند.
به‌طور پیش‌فرض، دستورها از دایرکتوری کاری جاری کاربر فراخواننده اجرا می‌شوند، مگر
آنکه گزینه \-i داده شده باشد.
نام‌های مسیر به شکل \[ti]user/path/name به صورت نسبی نسبت به دایرکتوری خانگی کاربر
نام‌برده تفسیر می‌شوند.
اگر نام کاربر حذف شود، مسیر نسبت به دایرکتوری خانگی کاربر runas خواهد بود.
.SS Tag_Spec
یک دستور می‌تواند صفر یا چند برچسب وابسته به خود داشته باشد.
مقادیر برچسب‌های زیر پشتیبانی می‌شوند: PASSWD، NOPASSWD، SETENV، و NOSETENV.
هنگامی که یک برچسب روی یک Cmnd تنظیم شد، Cmndهای بعدی در Cmnd_Spec_List
آن برچسب را به ارث می‌برند مگر آنکه با برچسب متضاد بازنویسی شود (به عبارت دیگر،
PASSWD بر NOPASSWD و NOSETENV بر SETENV غلبه می‌کند).
.SS برچسب‌های EXEC و NOEXEC
روی سیستم‌های لینوکس، برچسب NOEXEC می‌تواند برای جلوگیری از اجرای دستورهای
بیشتر توسط یک برنامه اجرایی به کار رود.
.PP
در نمونه زیر، کاربر aaron مجاز به اجرای /usr/bin/more و /usr/bin/vi است اما
فرارهای پوسته (shell escapes) غیرفعال خواهند بود.
.IP
.EX
    aaron   shanty = NOEXEC: /usr/bin/more, /usr/bin/vi
.EE
.PP
برای جزئیات بیشتر درباره چگونگی کارکرد NOEXEC و مناسب بودن یا نبودن آن برای مقصود شما،
بخش \f[I]جلوگیری از فرارهای پوسته\f[R] را در زیر ببینید.
.SS برچسب‌های PASSWD و NOPASSWD
به‌طور پیش‌فرض، sudo ایجاب می‌کند که کاربر پیش از اجرای یک دستور احراز هویت کند.
این رفتار می‌تواند از طریق برچسب NOPASSWD تغییر یابد.
مانند Runas_Spec، برچسب NOPASSWD یک پیش‌فرض برای دستورهای پس از خود در
Cmnd_Spec_List تعیین می‌کند.
برعکس، برچسب PASSWD می‌تواند برای معکوس کردن این حالت به کار رود.
برای نمونه:
.IP
.EX
   queen     rushmore = NOPASSWD: /bin/kill, /bin/ls, /usr/bin/lprm
.EE
.PP
به کاربر queen اجازه می‌دهد /bin/kill، /bin/ls، و /usr/bin/lprm را به عنوان root
روی ماشین \[lq]rushmore\[rq] بدون احراز هویت خود اجرا کند.
اگر تنها بخواهیم queen بتواند /bin/kill را بدون گذرواژه اجرا کند، مدخل چنین خواهد بود:
.IP
.EX
   queen     rushmore = NOPASSWD: /bin/kill, PASSWD: /bin/ls, /usr/bin/lprm
.EE
.PP
به‌طور پیش‌فرض، اگر برچسب NOPASSWD برای هریک از مدخل‌های کاربر برای میزبان جاری
اعمال شود، کاربر قادر خواهد بود \[lq]sudo \-l\[rq] را بدون گذرواژه اجرا کند.
افزون بر این، کاربر تنها در صورتی می‌تواند \[lq]sudo \-v\[rq] را بدون گذرواژه
اجرا کند که همه مدخل‌های کاربر برای میزبان جاری دارای برچسب NOPASSWD باشند.
.SS برچسب‌های SETENV و NOSETENV
این برچسب‌ها مقدار پرچم setenv را به‌ازای هر دستور بازنویسی می‌کنند.
توجه داشته باشید که اگر SETENV برای یک دستور تنظیم شده باشد، کاربر می‌تواند
پرچم env_reset را از خط فرمان از طریق گزینه \-E غیرفعال کند.
افزون بر این، متغیرهای محیطی تنظیم‌شده در خط فرمان مشمول محدودیت‌های اعمال‌شده
توسط env_check، env_delete، یا env_keep نیستند.
بدین سبب، تنها کاربران مورد اعتماد باید مجاز باشند متغیرها را بدین شیوه تنظیم کنند.
اگر دستور مطابقت‌یافته ALL باشد، برچسب SETENV برای آن دستور به طور ضمنی در نظر گرفته می‌شود؛
این پیش‌فرض می‌تواند با استفاده از برچسب NOSETENV بازنویسی شود.
.SS AppArmor_Spec
هنگامی که sudo\-rs با پشتیبانی از AppArmor ساخته شود، مدخل‌های پرونده sudoers
می‌توانند یک نمایه (profile) AppArmor را مشخص کنند که باید برای محدودسازی یک دستور به کار رود.
.PP
اگر یک نمایه AppArmor با دستور مشخص شود، مقادیر پیش‌فرض تعیین‌شده در sudoers را
بازنویسی خواهد کرد.
قواعد گذار نمایه مناسب باید برای پشتیبانی از تغییر نمایه مشخص‌شده برای یک کاربر تعریف شده باشند.
.PP
نمایه‌های AppArmor می‌توانند به هر روشی که با قوانین \f[CR]aa_change_profile(2)\f[R]
سازگار باشد مشخص شوند.
.SS نویسه‌های عام (Wildcards)
برنامه sudo اجازه می‌دهد نویسه‌های عام سبک پوسته (معروف به نویسه‌های meta یا glob)
در نام‌های میزبان، مسیرها، و آرگومان‌های خط فرمان در پرونده sudoers استفاده شوند.
تطابق نویسه‌های عام از طریق توابع glob(3) و fnmatch(3) مطابق با استاندارد IEEE Std 1003.1
(\[lq]POSIX.1\[rq]) انجام می‌شود.
.IP
.EX
 *         Matches any set of zero or more characters (including white space).

 ?         Matches any single character (including white space).

 [...]     Matches any character in the specified range.

 [!...]    Matches any character not in the specified range.

 \[rs]x        For any character \[oq]x\[cq], evaluates to \[oq]x\[cq].  This is used to escape special characters such as: \[oq]*\[cq], \[oq]?\[cq], \[oq][\[cq], and \[oq]]\[cq].
.EE
.PP
توجه داشته باشید که این‌ها عبارات منظم نیستند.
برخلاف یک عبارت منظم، راهی برای تطابق یک یا چند نویسه در یک محدوده وجود ندارد.
.PP
نویسه‌های عام در آرگومان‌های خط فرمان پشتیبانی نمی‌شوند\[em]استفاده از آنها در نسخه‌های
اصلی sudo معمولاً نشانه‌ای از پیکربندی نادرست بود و در نتیجه sudo\-rs صرفاً استفاده از آنها را منع می‌کند.
تنها کاربرد پشتیبانی‌شده، \[cq]*\[cq] به عنوان آرگومان پایانی برای نشان دادن
\[lq]صفر یا چند آرگومان بعدی\[rq] است، همان‌گونه که در بالا ذکر شد.
.SS گنجاندن پرونده‌های دیگر از درون sudoers
امکان گنجاندن سایر پرونده‌های sudoers از درون پرونده sudoers در حال تجزیه،
با استفاده از رهنمودهای \f[I]\[at]include\f[R] و \f[I]\[at]includedir\f[R] وجود دارد؛
یا محتوای ارائه‌شده توسط یک برنامه کاربردی از طریق یک سوکت دامنه یونیکس با رهنمود
\f[I]\[at]socket\f[R].
برای سازگاری با نگارش‌های پیش از 1.9.1 برنامه sudo تاد میلر، \f[I]#include\f[R]
و \f[I]#includedir\f[R] نیز پذیرفته می‌شوند.
.PP
یک پرونده شامل‌شده (include file) می‌تواند برای نمونه جهت نگهداری یک پرونده سراسری sudoers
افزون بر یک پرونده محلی به‌ازای هر ماشین به کار رود.
برای این مثال، پرونده سراسری /etc/sudoers و پرونده محلی ماشین /etc/sudoers.local خواهد بود.
برای گنجاندن /etc/sudoers.local از درون /etc/sudoers می‌توان از سطر زیر در /etc/sudoers استفاده کرد:
.IP
.EX
     \[at]include /etc/sudoers.local
.EE
.PP
هنگامی که sudo به این سطر می‌رسد، پردازش پرونده جاری (/etc/sudoers) را به حالت تعلیق
درمی‌آورد و به /etc/sudoers.local تغییر وضعیت می‌دهد.
پس از رسیدن به پایان /etc/sudoers.local، بقیه /etc/sudoers پردازش خواهد شد.
پرونده‌هایی که گنجانده می‌شوند می‌توانند خود پرونده‌های دیگری را بگنجانند.
یک حد سخت‌گیرانه ۱۲۸ پرونده تودرتو برای جلوگیری از حلقه‌های گنجاندن اعمال می‌شود.
.PP
مسیر پرونده شامل‌شده ممکن است شامل فاصله‌های خالی باشد در صورتی که با
ممیز وارونه (`\[rs]') فرار داده شود.
متناوباً، کل مسیر می‌تواند در گیومه دوتایی (\[lq]\[lq]) قرار گیرد، که در این حالت
فراردهی لازم نیست.
برای گنجاندن ممیز وارونه دقیق در مسیر، باید از `\[rs]\[rs]' استفاده شود.
اگر مسیر پرونده شامل‌شده کامل نباشد (با `/' آغاز نشود)، باید در همان دایرکتوری
پرونده sudoers که از آن گنجانده شده قرار داشته باشد.
برای نمونه اگر /etc/sudoers شامل سطر زیر باشد:
.IP
.EX
     \[at]include sudoers.local
.EE
.PP
رهنمود \[at]includedir می‌تواند برای ایجاد یک دایرکتوری sudoers.d استفاده شود تا
مدیر بسته‌های سیستم بتواند قواعد پرونده sudoers را به عنوان بخشی از نصب بسته در آن قرار دهد.
برای نمونه با داشتن:
.IP
.EX
     \[at]includedir /etc/sudoers.d
.EE
.PP
برنامه sudo پردازش پرونده جاری را معلق کرده و هر پرونده درون /etc/sudoers.d را می‌خواند،
و نام پرونده‌هایی را که به `\[ti]' ختم می‌شوند یا شامل نویسه `.' هستند نادیده می‌گیرد
تا از ایجاد مشکل در پرونده‌های موقت یا پشتیبان مدیر بسته یا ویرایشگر جلوگیری شود.
پرونده‌ها به ترتیب الفبایی مرتب‌شده تجزیه می‌شوند.
بدین معنا که /etc/sudoers.d/01_first پیش از /etc/sudoers.d/10_second تجزیه خواهد شد.
توجه داشته باشید از آنجا که مرتب‌سازی الفبایی است نه عددی،
/etc/sudoers.d/1_whoops پس از /etc/sudoers.d/10_second بارگذاری می‌شود.
استفاده از تعداد ثابتی از صفرهای آغازین در نام پرونده‌ها می‌تواند برای جلوگیری
از چنین مشکلاتی به کار رود.
پس از تجزیه پرونده‌های درون دایرکتوری، کنترل به پرونده‌ای بازمی‌گردد که حاوی رهنمود
\[at]includedir بوده است.
.PP
توجه داشته باشید که برخلاف پرونده‌های گنجانده‌شده با \[at]include، ابزار visudo
پرونده‌های درون یک دایرکتوری \[at]includedir را ویرایش نخواهد کرد مگر آنکه یکی از آنها
حاوی خطای نحوی باشد.
هنوز امکان اجرای visudo با پرچم \-f برای ویرایش مستقیم پرونده‌ها وجود دارد، اما این کار
تعریف دوباره یک نام مستعار را که در پرونده دیگری نیز وجود دارد آشکار نخواهد کرد.
.PP
هنگام مدیریت قواعد گسترده سازمانی sudoers، گاهی ترجیح داده می‌شود آنها در یک
مخزن متمرکز ذخیره شوند.
رهنمود \[at]socket می‌تواند برای گنجاندن محتوای ارائه‌شده توسط یک برنامه سرور
روی یک سوکت دامنه یونیکس به کار رود.
برای نمونه، ارائه:
.IP
.EX
     \[at]socket (sssd:sssd) /var/run/providers/sudoers.socket
.EE
.PP
باعث می‌شود sudo آن سوکت را باز کند، قواعد را بخواند و آن را ببندد، درست مانند
یک پرونده شامل‌شده.
قواعد باید از همان نحوی پیروی کنند که در پرونده‌های sudoers استفاده می‌شود.
با این حال یک استثنا وجود دارد: هنگام خواندن از یک سوکت، رهنمودهای
\[at]include، \[at]includedir، و \[at]socket پذیرفته نمی‌شوند.
.PP
به دلایل امنیتی، یک کاربر و به صورت اختیاری یک گروه باید ارائه شود که درون
پرانتز محصور شده و با دونقطه از هم جدا شده باشند.
کاربران و گروه‌ها می‌توانند با نام خود یا با شناسه عددی خود با پیشوند علامت هش (#) مشخص شوند.
هنگامی که سوکت باز می‌شود، و پیش از هرگونه تعامل با آن، sudo بررسی می‌کند که
فرایند همتا در طرف دیگر سوکت به عنوان کاربر و گروه اعلام‌شده (در صورت ارائه دومی) اجرا می‌شود.
اگر هریک از این شرایط نقض شود، سوکت فوراً بسته شده و دور انداخته می‌شود.
تنها گروه‌های POSIX می‌توانند استفاده شوند.
.PP
لطفاً توجه داشته باشید که visudo نمی‌تواند از یک سوکت بخواند.
افزون بر این، محتوای بازیابی‌شده از یک سوکت توسط sudo تغییرناپذیر در نظر گرفته می‌شود.
.SS سایر نویسه‌های ویژه و واژه‌های کلیدی
علامت هش (`#') برای نشان دادن توضیح به کار می‌رود (مگر آنکه بخشی از یک رهنمود
#include باشد یا در زمینه نام کاربری رخ دهد و به دنبال آن یک یا چند رقم بیاید، که
در این صورت به عنوان شناسه کاربری تلقی می‌شود).
هم نویسه توضیح و هم هر متنی پس از آن تا پایان سطر، نادیده گرفته می‌شوند.
.PP
واژه کلیدی رزروشده \f[I]ALL\f[R] یک نام مستعار توکار است که همیشه باعث تطابق موفق می‌شود.
این واژه می‌تواند هر جا که معمولاً از یک Cmnd_Alias، User_Alias، Runas_Alias،
یا Host_Alias استفاده می‌شود، به کار رود.
تلاش برای تعریف یک نام مستعار با نام ALL منجر به خطای نحوی خواهد شد.
لطفاً توجه داشته باشید که استفاده از ALL می‌تواند خطرناک باشد زیرا در زمینه دستور،
به کاربر اجازه می‌دهد هر دستوری را روی سیستم اجرا کند.
.PP
یک علامت تعجب (`!') می‌تواند به عنوان یک عملگر نقیض منطقی (NOT) در یک فهرست یا
نام مستعار و همچنین در جلوی یک Cmnd به کار رود.
این امکان نفی مقادیر معینی را فراهم می‌کند.
برای اینکه عملگر `!' مؤثر واقع شود، باید چیزی برای حذف کردن وجود داشته باشد.
برای نمونه، برای تطابق همه کاربران به جز root باید چنین نوشت:
.IP
.EX
     ALL,!root
.EE
.PP
اگر ALL, حذف شود، همانند:
.IP
.EX
     !root
.EE
.PP
صریحاً root را نفی می‌کند اما با هیچ کاربر دیگری تطابق نخواهد یافت.
این با یک عملگر \[lq]نفی\[rq] واقعی تفاوت دارد.
.PP
با این حال توجه داشته باشید که استفاده از یک `!' همراه با نام مستعار توکار ALL
جهت اجازه دادن به یک کاربر برای اجرای \[lq]همه به جز چند دستور معدود\[rq] به ندرت
مطابق انتظار عمل می‌کند (بخش نکات امنیتی را در زیر ببینید).
.PP
فاصله خالی میان عناصر در یک فهرست و همچنین نویسه‌های نحوی ویژه در مشخصات کاربر
(`=', `:', `(', `)') اختیاری است.
.PP
نویسه‌های زیر در صورت استفاده به عنوان بخشی از یک کلمه (برای نمونه، یک نام کاربری
یا نام میزبان) باید با ممیز وارونه (`\[rs]') فرار داده شوند:
`!', `=', `:', `,', `(', `)', `\[rs]'.
.SS گزینه‌های SUDOERS
رفتار sudo می‌تواند با سطرهای Default_Entry تغییر یابد، همان‌طور که پیش‌تر توضیح داده شد.
فهرستی از تمام پارامترهای پشتیبانی‌شده Defaults، گروه‌بندی‌شده بر پایه نوع، در زیر آورده شده است.
.SS پرچم‌های بولی (Boolean Flags):
.IP \[bu] 2
log_allowed
.RS 2
.PP
در صورت تنظیم، sudoers دستورهای مجازشده توسط خط‌مشی را در گزارش سیستم (syslog) ثبت می‌کند.
این پرچم به طور پیش‌فرض روشن است.
.RE
.IP \[bu] 2
noexec
.RS 2
.PP
در صورت تنظیم، همه دستورهای اجراشده از طریق sudo به گونه‌ای رفتار خواهند کرد که گویی
برچسب NOEXEC تنظیم شده است، مگر اینکه با یک برچسب EXEC بازنویسی شود.
شرح EXEC و NOEXEC و همچنین بخش \f[I]جلوگیری از فرارهای پوسته\f[R] را در پایان
این راهنما ببینید.
این پرچم به طور پیش‌فرض خاموش است.
.RE
.IP \[bu] 2
noninteractive_auth
.RS 2
.PP
در صورت تنظیم، احراز هویت حتی در حالت غیرتعاملی (هنگامی که گزینه \-n در sudo مشخص شده باشد)
تلاش خواهد شد.
این امر به روش‌های احراز هویتی که نیازی به تعامل کاربر ندارند امکان موفقیت می‌دهد.
روش‌های احراز هویتی که به ورودی از پایانه کاربر نیاز دارند همچنان با شکست روبرو می‌شوند.
در صورت غیرفعال بودن، تلاشی برای احراز هویت در حالت غیرتعاملی صورت نخواهد گرفت.
این پرچم به طور پیش‌فرض خاموش است.
.RE
.IP \[bu] 2
env_editor
.RS 2
.PP
در صورت تنظیم، visudo پیش از بازگشت به فهرست پیش‌فرض ویرایشگرها، از مقدار متغیرهای محیطی
SUDO_EDITOR، VISUAL یا EDITOR استفاده خواهد کرد.
توجه داشته باشید که visudo معمولاً به عنوان root اجرا می‌شود، بنابراین این پرچم ممکن است
به کاربری با امتیازات visudo اجازه دهد دستورهای دلخواه را به عنوان root بدون ثبت گزارش اجرا کند.
یک راه‌حل جایگزین، قرار دادن فهرستی از ویرایشگرهای \[lq]امن\[rq] جداشده با دونقطه
در تنظیم editor است.
در این صورت visudo تنها زمانی از SUDO_EDITOR، VISUAL یا EDITOR استفاده خواهد کرد که
با مقداری مشخص‌شده در editor مطابقت داشته باشند.
اگر پرچم env_reset فعال باشد، متغیرهای محیطی SUDO_EDITOR، VISUAL و/یا EDITOR باید
در فهرست env_keep حاضر باشند تا پرچم env_editor هنگام فراخوانی visudo از طریق sudo عمل کند.
این پرچم به طور پیش‌فرض روشن است.
.RE
.IP \[bu] 2
pwfeedback
.RS 2
.PP
به‌طور پیش‌فرض، sudo مانند بیشتر برنامه‌های دیگر یونیکس، با خاموش کردن بازتاب کلیدها
تا زمان فشردن کلید return (یا enter) گذرواژه را می‌خواند.
برخی کاربران از این موضوع سردرگم می‌شوند زیرا به نظرشان می‌رسد که sudo در این نقطه متوقف شده است.
هنگامی که pwfeedback تنظیم شود، sudo با فشردن هر کلید توسط کاربر بازخورد دیداری ارائه می‌دهد.
بازخورد همیشه می‌تواند با استفاده از کلید TAB خاموش شود.
این پرچم به طور پیش‌فرض روشن است.
.RE
.IP \[bu] 2
rootpw
.RS 2
.PP
در صورت تنظیم، sudo هنگام اجرای یک دستور یا ویرایش یک پرونده، به جای گذرواژه کاربر فراخواننده،
گذرواژه root را درخواست خواهد کرد.
این پرچم به طور پیش‌فرض خاموش است.
.RE
.IP \[bu] 2
setenv
.RS 2
.PP
به کاربر اجازه می‌دهد متغیرهای محیطی را از طریق خط فرمان تنظیم کند که مشمول محدودیت‌های
اعمال‌شده توسط env_check، env_delete، یا env_keep نباشند.
بدین سبب، تنها کاربران مورد اعتماد باید مجاز به تنظیم متغیرها بدین شیوه باشند.
این پرچم به طور پیش‌فرض خاموش است.
.RE
.IP \[bu] 2
targetpw
.RS 2
.PP
در صورت تنظیم، sudo هنگام اجرای یک دستور یا ویرایش یک پرونده، به جای گذرواژه کاربر فراخواننده،
گذرواژه کاربر مشخص‌شده با گزینه \-u (پیش‌فرض root) را درخواست خواهد کرد.
توجه داشته باشید که این پرچم مانع از استفاده از شناسه کاربری (user-ID) فهرست‌نشده
در پایگاه داده passwd به عنوان آرگومان گزینه \-u می‌شود.
این پرچم به طور پیش‌فرض خاموش است.
.RE
.IP \[bu] 2
umask_override
.RS 2
.PP
در صورت تنظیم، sudo ماسک umask را دقیقاً مطابق با آنچه در پرونده sudoers مشخص شده
بدون تغییر تنظیم می‌کند.
این امر تعیین umaskای در پرونده sudoers را که مجازتر از umask خود کاربر باشد ممکن می‌سازد.
اگر umask_override تنظیم نشود، sudo ماسک umask را به عنوان اجتماع umask کاربر
و آنچه در sudoers مشخص شده تنظیم خواهد کرد.
این پرچم به طور پیش‌فرض خاموش است.
.RE
.IP \[bu] 2
use_pty
.RS 2
.PP
در صورت تنظیم، و اگر sudo در یک پایانه در حال اجرا باشد، دستور در یک پایانه مجازی
(pseudo\-terminal) اجرا خواهد شد (حتی اگر هیچ ثبت ورودی/خروجی انجام نشود).
اگر فرایند sudo به پایانه‌ای متصل نباشد، use_pty هیچ اثری ندارد.
.PP
یک برنامه مخرب که تحت sudo اجرا می‌شود ممکن است بتواند دستورهایی را به پایانه کاربر
تزریق کند یا فرایندی در پس‌زمینه اجرا کند که حتی پس از پایان اجرای برنامه اصلی دسترسی به
دستگاه پایانه کاربر را حفظ کند.
با اجرای دستور در یک پایانه مجازی جداگانه، این حمله دیگر امکان‌پذیر نخواهد بود.
این پرچم به طور پیش‌فرض روشن است.
.RE
.SS اعداد صحیح (Integers):
.IP \[bu] 2
passwd_tries
.RS 2
.PP
تعداد دفعاتی که به کاربر برای وارد کردن گذرواژه‌اش فرصت داده می‌شود پیش از آنکه
sudo شکست را ثبت کرده و خارج شود.
پیش‌فرض ۳ است.
.RE
.SS اعداد صحیحی که می‌توانند در زمینه بولی به کار روند:
.IP \[bu] 2
timestamp_timeout
.RS 2
.PP
تعداد دقایقی که می‌تواند سپری شود پیش از آنکه sudo دوباره درخواست گذرواژه کند.
اگر دقت دقیقه‌ای کافی نباشد، مهلت می‌تواند شامل یک بخش اعشاری باشد، برای نمونه ۲.۵.
پیش‌فرض ۱۵ است.
این مقدار را روی ۰ قرار دهید تا همیشه درخواست گذرواژه شود.
.RE
.IP \[bu] 2
umask
.RS 2
.PP
ماسک ایجاد حالت پرونده برای استفاده هنگام اجرای دستور.
این گزینه را نفی کنید یا آن را روی 0777 بگذارید تا از تغییر umask توسط sudo جلوگیری شود.
مگر اینکه پرچم umask_override تنظیم شده باشد، مقدار واقعی umask اجتماع umask کاربر
و مقدار تنظیم umask خواهد بود که پیش‌فرض آن 0022 است.
این تضمین می‌کند که sudo هنگام اجرای یک دستور هرگز umask را پایین‌تر نمی‌آورد.
.PP
اگر umask صریحاً تنظیم شود، هرگونه تنظیم umask در PAM را بازنویسی خواهد کرد.
اگر umask تنظیم نشود، umask مشخص‌شده توسط PAM اولویت خواهد داشت.
تنظیم umask در PAM برای sudoedit که نشست جدید PAM ایجاد نمی‌کند، استفاده نمی‌شود.
.RE
.SS رشته‌ها (Strings)
.IP \[bu] 2
editor
.RS 2
.PP
فهرستی از مسیرهای ویرایشگرها جداشده با دونقطه (`:') که توسط \f[B]sudoedit\f[R]
و \f[B]visudo\f[R] به کار می‌رود.
برای \f[B]sudoedit\f[R]، این فهرست برای یافتن ویرایشگری استفاده می‌شود که هیچ‌یک
از متغیرهای محیطی SUDO_EDITOR، VISUAL یا EDITOR به ویرایشگری که موجود و قابل اجرا باشد
تنظیم نشده باشند.
برای \f[B]visudo\f[R]، به عنوان فهرست مجاز ویرایشگرها به کار می‌رود؛
\f[B]visudo\f[R] در صورت امکان ویرایشگری را انتخاب می‌کند که با متغیرهای محیطی
SUDO_EDITOR، VISUAL یا EDITOR کاربر مطابقت داشته باشد، یا در غیر این صورت
نخستین ویرایشگر موجود و قابل اجرا در فهرست را برمی‌گزیند.
مگر اینکه به صورت \f[B]sudoedit\f[R] فراخوانی شود، sudo متغیرهای محیطی
SUDO_EDITOR، VISUAL یا EDITOR را حفظ نمی‌کند مگر اینکه در فهرست \f[B]env_keep\f[R]
حاضر باشند.
پیش‌فرض در لینوکس
\f[I]/usr/bin/editor:/usr/bin/nano:/usr/bin/vi\f[R] است.
روی FreeBSD پیش‌فرض \f[I]/usr/bin/vi\f[R] است.
.RE
.IP \[bu] 2
timestamp_type
.RS 2
.PP
برنامه sudo\-rs از پرونده‌های مهرزمانی به‌ازای هر کاربر برای ذخیره موقت اعتبارنامه‌ها استفاده می‌کند.
گزینه \f[I]timestamp_type\f[R] می‌تواند برای تعیین نوع رکورد مهرزمانی استفاده شود.
این گزینه دو مقدار ممکن دارد: \f[I]tty\f[R] و \f[I]ppid\f[R].
هیچ پشتیبانی از تنظیمات \f[I]global\f[R] یا \f[I]kernel\f[R] وجود ندارد.
.IP \[bu] 2
\f[I]ppid\f[R]: یک رکورد مهرزمانی واحد برای همه فرایندهایی با شناسه فرایند والد
(معمولاً پوسته) یکسان استفاده می‌شود.
دستورهای اجراشده از همان پوسته (یا فرایند والد مشترک دیگر) تا زمانی که مهرزمانی
معتبر است نیازی به گذرواژه نخواهند داشت (به \f[I]timestamp_timeout\f[R] مراجعه کنید).
دستورهای اجراشده از طریق sudo با شناسه فرایند والد متفاوت، مثلاً از یک اسکریپت پوسته،
باید جداگانه احراز هویت شوند.
.IP \[bu] 2
\f[I]tty\f[R]: یک رکورد مهرزمانی برای هر پایانه استفاده می‌شود، به این معنی که
نشست‌های ورود یک کاربر به طور جداگانه احراز هویت می‌شوند.
اگر پایانه‌ای وجود نداشته باشد، رفتار مانند \f[I]ppid\f[R] است.
دستورهای اجراشده از همان پایانه تا زمانی که مهرزمانی معتبر است نیازی به گذرواژه نخواهند داشت.
.PP
مقدار پیش‌فرض \f[B]tty\f[R] است.
.RE
.SS رشته‌هایی که می‌توانند در زمینه بولی به کار روند:
.IP \[bu] 2
apparmor_profile
.RS 2
.PP
نمایه پیش‌فرض AppArmor برای گذار به آن هنگام اجرای یک دستور.
مقدار پیش‌فرض apparmor_profile می‌تواند برای هریک از مدخل‌های منفرد sudoers
با مشخص کردن گزینه APPARMOR_PROFILE بازنویسی شود.
این گزینه تنها زمانی در دسترس است که sudo\-rs با پشتیبانی AppArmor ساخته شده باشد.
این گزینه به طور پیش‌فرض تنظیم نشده است.
.RE
.IP \[bu] 2
runcwd
.RS 2
.PP
در صورت تنظیم، sudo از این مقدار برای دایرکتوری کاری هنگام اجرای یک دستور استفاده خواهد کرد.
مقدار ویژه \[lq]*\[rq] به کاربر اجازه می‌دهد تا دایرکتوری کاری را از طریق گزینه \-D
در sudo مشخص کند.
برای جزئیات بیشتر بخش \f[I]Chdir_Spec\f[R] را ببینید.
.RE
.IP \[bu] 2
secure_path
.RS 2
.PP
در صورت تنظیم، sudo از این مقدار به جای متغیر محیطی PATH کاربر استفاده خواهد کرد.
این گزینه می‌تواند برای بازنشانی PATH به یک مقدار مطمئن و شناخته‌شده به کار رود
که شامل دایرکتوری‌های دستورهای مدیر سیستم مانند /usr/sbin است.
این گزینه به طور پیش‌فرض تنظیم نشده است.
.RE
.SS فهرست‌هایی که می‌توانند در زمینه بولی به کار روند:
.IP \[bu] 2
env_check
.RS 2
.PP
متغیرهای محیطی که باید از محیط کاربر حذف شوند مگر اینکه \[lq]امن\[rq] در نظر گرفته شوند.
برای همه متغیرها به جز TZ، \[lq]امن\[rq] بدین معناست که مقدار متغیر شامل هیچ نویسه
`%' یا `/' نباشد.
این می‌تواند برای محافظت در برابر آسیب‌پذیری‌های قالب‌بندی سبک printf در برنامه‌های
بد نوشته‌شده به کار رود.
متغیر TZ در صورت برقراری هریک از شرایط زیر ناامن در نظر گرفته می‌شود:
.IP
.EX
                 •  It consists of a fully\-qualified path name, optionally prefixed with a colon (\[oq]:\[cq]), that does not match the location of the zoneinfo directory.

                 •  It contains a .. path element.

                 •  It contains white space or non\-printable characters.

                 •  It is longer than the value of PATH_MAX.
.EE
.RE
.PP
آرگومان می‌تواند یک فهرست جداشده با فاصله درون گیومه دوتایی، یا یک مقدار منفرد
بدون گیومه دوتایی باشد.
این فهرست می‌تواند به ترتیب با استفاده از عملگرهای =، +=، \-=، و ! جایگزین شود،
به آن افزوده شود، از آن حذف گردد، یا غیرفعال شود.
صرف‌نظر از اینکه گزینه env_reset فعال یا غیرفعال باشد، متغیرهای مشخص‌شده با
env_check در صورت قبولی در بررسی پیش‌گفته در محیط حفظ خواهند شد.
فهرست سراسری متغیرهای محیطی برای بررسی، هنگامی که sudo توسط root با گزینه \-V
اجرا شود، نمایش داده می‌شود.
.IP \[bu] 2
env_keep
.RS 2
.PP
متغیرهای محیطی که در صورت فعال بودن گزینه env_reset باید در محیط کاربر حفظ شوند.
این امکان کنترل دقیق بر محیطی را که فرایندهای ایجادشده توسط sudo دریافت می‌کنند، فراهم می‌سازد.
آرگومان می‌تواند یک فهرست جداشده با فاصله درون گیومه دوتایی، یا یک مقدار منفرد
بدون گیومه دوتایی باشد.
این فهرست می‌تواند به ترتیب با استفاده از عملگرهای =، +=، \-=، و ! جایگزین شود،
به آن افزوده شود، از آن حذف گردد، یا غیرفعال شود.
فهرست سراسری متغیرهای نگه‌داشتنی، هنگامی که sudo توسط root با گزینه \-V
اجرا شود، نمایش داده می‌شود.
.PP
حفظ متغیر محیطی HOME دارای پیامدهای امنیتی است زیرا بسیاری از برنامه‌ها هنگام
جستجو برای پرونده‌های پیکربندی یا داده از آن استفاده می‌کنند.
افزودن HOME به env_keep ممکن است کاربر را قادر سازد دستورهای بدون محدودیت را
از طریق sudo اجرا کند و اکیداً منع می‌شود.
کاربرانی که مایل به ویرایش پرونده‌ها با sudo هستند باید به جای فراخوانی مستقیم ویرایشگر،
\f[B]sudoedit\f[R] (یا \f[B]sudo \-e\f[R]) را اجرا کنند تا پیکربندی معمول ویرایشگر خود را به دست آورند.
.RE
.SS قالب گزارش (LOG FORMAT)
برنامه sudo\-rs رویدادها را از طریق syslog(3) گزارش می‌کند.
.SS پرونده‌ها (FILES)
.IP
.EX
 /etc/sudoers\-rs           فهرست این‌که چه کسی مجاز به اجرای چه چیزی است (برای هم‌زیستی sudo-rs و sudo تاد میلر)

 /etc/sudoers              فهرست این‌که چه کسی مجاز به اجرای چه چیزی است (سازگار با sudo)

 /run/sudo/ts              دایرکتوری شامل مهرهای زمانی برای خط‌مشی امنیتی sudoers
.EE
.SS نکات امنیتی (SECURITY NOTES)
.SS محدودیت‌های عملگر `!'
به طور کلی \[lq]تفریق\[rq] یا کسر دستورها از ALL با استفاده از عملگر `!' مؤثر نیست.
یک کاربر می‌تواند به سادگی با کپی کردن دستور مورد نظر به نامی دیگر و سپس اجرای آن،
این محدودیت را دور بزند.
برای نمونه:
.IP
.EX
 bill    ALL = ALL, !SU, !SHELLS
.EE
.PP
واقعاً مانع از اجرای دستورهای فهرست‌شده در SU یا SHELLS توسط bill نمی‌شود، چرا
که او می‌تواند به سادگی آن دستورها را به نامی دیگر کپی کند، یا از فرار پوسته
از یک ویرایشگر یا برنامه دیگر استفاده کند.
بنابراین، این دست محدودیت‌ها در بهترین حالت باید توصیه‌ای تلقی شوند (و توسط خط‌مشی تقویت گردند).
.PP
به طور کلی، اگر کاربری sudo ALL داشته باشد، صرف‌نظر از هرگونه عنصر `!' در مشخصات
کاربر، هیچ چیز نمی‌تواند مانع از ساخت برنامه‌ای توسط او شود که یک پوسته root به او بدهد
(یا ساخت کپی خودش از یک پوسته).
.SS پیامدهای امنیتی \f[CR]fast_glob\f[R]
برنامه sudo\-rs از fast_glob استفاده می‌کند، که علاوه بر این بدان معناست که نفی مطمئن
دستورهایی که در آنها نام مسیر شامل نویسه‌های globbing (معروف به عام یا وایلدکارت)
است، امکان‌پذیر نیست.
دلیل این امر آن است که تابع fnmatch در کتابخانه Rust نمی‌تواند مسیرهای نسبی را حل کند.
در حالی که این موضوع معمولاً تنها برای قواعدی که امتیازاتی را اعطا می‌کنند یک ناراحتی ساده است،
می‌تواند برای قواعدی که امتیازات را کسر یا لغو می‌کنند منجر به یک مشکل امنیتی شود.
.PP
برای نمونه، با فرض مدخل زیر در پرونده sudoers:
.IP
.EX
 john    ALL = /usr/bin/passwd [a\-zA\-Z0\-9]*, /usr/bin/chsh [a\-zA\-Z0\-9]*,\[rs]
               /usr/bin/chfn [a\-zA\-Z0\-9]*, !/usr/bin/* root
.EE
.PP
کاربر john همچنان می‌تواند در صورت فعال بودن fast_glob، با رفتن به دایرکتوری
/usr/bin و اجرای ./passwd root به جای آن، دستور /usr/bin/passwd root را اجرا کند.
.SS جلوگیری از فرارهای پوسته (Preventing shell escapes)
هنگامی که sudo برنامه‌ای را اجرا می‌کند، آن برنامه آزاد است هر کاری را که می‌خواهد
انجام دهد، از جمله اجرای برنامه‌های دیگر.
این می‌تواند یک مشکل امنیتی باشد زیرا غیرمعمول نیست که برنامه‌ای فرار پوسته (shell escapes)
را مجاز بداند، که به کاربر اجازه می‌دهد کنترل دسترسی و ثبت گزارش sudo را دور بزند.
برنامه‌های متداولی که فرار پوسته را مجاز می‌دانند شامل پوسته‌ها (بدیهی است)، ویرایشگرها،
صفحه‌بندها (مانند \f[I]less\f[R])، ایمیل و برنامه‌های پایانه هستند.
.PP
روی لینوکس، sudo\-rs دارای قابلیت \f[B]noexec\f[R] برنامه sudo بر پایه پالایه seccomp() است.
برنامه‌هایی که در حالت \f[B]noexec\f[R] اجرا می‌شوند نمی‌توانند برنامه‌های دیگر را اجرا کنند.
پیاده‌سازی در sudo\-rs با sudo تاد میلر متفاوت است و روی باینری‌های پیوند ایستا نیز باید کار کند.
.PP
توجه داشته باشید که محدود کردن فرارهای پوسته درمانی قطعی برای همه دردها نیست.
برنامه‌هایی که به عنوان root اجرا می‌شوند همچنان قادر به انجام عملیات بسیار پرخطر
(مانند تغییر یا بازنویسی پرونده‌ها) هستند که می‌تواند به ارتقای ناخواسته امتیاز بیانجامد.
همچنین NOEXEC محافظتی در برابر برنامه‌های مخرب نیست.
این ویژگی مانع از نگاشت حافظه به عنوان قابل اجرا نمی‌شود و در برابر فراخوان‌های سیستمی
آینده که می‌توانند مانند ویژگی پیشنهادی exec در \f[CR]io_uring\f[R] لینوکس یک exec() انجام دهند،
محافظت نمی‌کند.
و همچنین به همان دلایلی که در برابر برنامه‌های مخرب محافظت نمی‌کند، در برابر برنامه‌های درستی
که دانسته یا ندانسته به کاربر اجازه نوشتن در /proc/self/mem را می‌دهند نیز محافظت به عمل نمی‌آورد.
شما همواره باید بیازمایید که آیا \f[B]noexec\f[R] واقعاً مانع از فرارهای پوسته
برای برنامه‌هایی که قرار است با آن به کار روند می‌شود یا خیر.
.SS بررسی‌های پرونده مهرزمانی (Timestamp file checks)
برنامه sudo\-rs مالکیت دایرکتوری مهرزمانی خود (پیش‌فرض /run/sudo/ts) را بررسی خواهد کرد
و در صورتی که تحت مالکیت root نباشد یا توسط کاربری غیر از root قابل نوشتن باشد،
محتوای دایرکتوری را نادیده خواهد گرفت.
.PP
در حالی که دایرکتوری مهرزمانی باید در زمان راه‌اندازی مجدد پاک شود، برای جلوگیری از
مشکلات احتمالی، sudo\-rs در سیستم‌هایی که زمان راه‌اندازی در دسترس است، پرونده‌های
مهرزمانی تاریخ‌خورده پیش از راه‌اندازی ماشین را نادیده خواهد گرفت.
.PP
برخی سیستم‌های دارای محیط میزکار گرافیکی به کاربران بدون امتیاز اجازه می‌دهند
ساعت سیستم را تغییر دهند.
از آنجا که sudo\-rs برای اعتبارسنجی مهرزمانی به ساعت سیستم متکی است، ممکن است در
چنین سیستم‌هایی کاربری با عقب کشیدن ساعت بتواند sudo را به مدت طولانی‌تر از
\f[I]timestamp_timeout\f[R] اجرا کند.
برای مقابله با این مسئله، \f[CR]sudo\-rs\f[R] در صورتی که سیستم پشتیبانی کند، از یک ساعت
یکنواخت (که هرگز به عقب برنمی‌گردد) برای مهرهای زمانی خود استفاده می‌کند.
برنامه sudo\-rs مهرهای زمانی تنظیم‌شده در آینده دور را نخواهد پذیرفت.
.SS همچنین ببینید
su(1), fnmatch(3), glob(3), sudo(8), visudo(8)
.SS هشدارها (CAVEATS)
پرونده sudoers همواره باید توسط ابزار visudo ویرایش شود که پرونده را قفل کرده
و خطاهای نحوی را بررسی می‌کند.
اگر sudoers شامل خطاهای نحوی باشد، ممکن است خود را از امکان استفاده از sudo محروم سازید.
.SS اشکالات (BUGS)
اگر احساس می‌کنید اشکالی در sudo\-rs یافته‌اید، لطفاً گزارش اشکال را در نشانی زیر ارسال کنید:
https://github.com/trifectatechfoundation/sudo\-rs/issues/
.SH "نویسندگان"
این صفحه راهنما نگارش اصلاح‌شده‌ای از مستندات sudoers(5)
نوشته‌شده توسط تاد میلر (Todd Miller) است؛ برای نسخه اصلی https://www.sudo.ws/ را ببینید.
.SS "سلب مسئولیت"
برنامه sudo\-rs به صورت \[lq]همان‌گونه که هست\[rq] ارائه می‌شود و هرگونه
ضمانت صریح یا ضمنی، از جمله، اما نه محدود به، ضمانت‌های ضمنی
خریدوفروش و مناسب بودن برای یک هدف معین سلب می‌شود.