🐧 Как отключить «sudo su» для пользователей в конфигурационном файле sudoers

$ sudo su

Команда sudo позволяет системному администратору разрешить пользователю или группе пользователей запускать определенные инструменты командной строки с различными привилегиями (такими как привилегия суперпользователя «root»), зная только исходный пароль пользователя.

При запуске команды sudo она пытается найти соответствующую команду в своих файлах конфигурации /etc/sudoers или /etc/sudoers.d/; если совпадение найдено, пользователю предоставляется право на запуск команды, если нет, то событие регистрируется и команда отклоняется.

Команда sudo работает путем сопоставления аргументов командной строки с каждой записью в файлах / etc / sudoers или /etc/sudoers.d/. Первый найденный элемент определяет результат.

Каждое правило проверяется в своем порядке в файле /etc/sudoers.

Правило сопоставляется с началом команды.

Если правило короче команды, проверяется только совпадающая часть в начале команды; любой остаток команды не проверяется.

Порядок правил /etc/sudoers имеет значение; всегда ставьте более длинные правила перед более короткой версией.

1. Войдите на сервер под учетной записью root.

2. Сделайте резервную копию файла конфигурации /etc/sudoers.

# cp -p /etc/sudoers /etc/sudoers.ORIG

# visudo -f /etc/sudoerss

##Allow orarom user to run any command (enabled for patching from oracle platnum support)
orarom ALL=(ALL) ALL

##Limit the orarom user to run any command (enabled for patching from oracle platnum support), except for sudo su to root
orarom ALL = ALL, !/bin/su

$ sudo su -
[sudo] password for orarom:
Sorry, user orarom is not allowed to execute '/bin/su -' as root on testvm01.