Archivo Sudoers, habilite NOPASSWD para el usuario, todos los comandos

Prefacio

Esta es una pregunta bastante compleja relacionada con el archivo Sudoers y el comando sudo en general.

NOTA: He realizado estos cambios en una máquina dedicada que ejecuta Ubuntu Desktop 13.04, que uso exclusivamente con fines de aprendizaje. Entiendo que es un gran riesgo de seguridad habilitar el sudo NOPASSWD.

Pregunta

Inicialmente, mi único cambio en el archivo sudoers (/ etc / sudoers) fue una línea, una especificación de usuario que debería haber habilitado 'nicholsonjf' para ejecutar todos los comandos con sudo sin tener que ingresar una contraseña (consulte la línea que comienza con 'nicholsonjf '):

# This file MUST be edited with the 'visudo' command as root.
#
# Please consider adding local content in /etc/sudoers.d/ instead of
# directly modifying this file.
#
# See the man page for details on how to write a sudoers file.
#
Defaults        env_reset
Defaults        mail_badpass
Defaults        secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"

# Host alias specification

# User alias specification

# Cmnd alias specification

# User privilege specification
root    ALL=(ALL:ALL) ALL
nicholsonjf    ALL=NOPASSWD: ALL

# Members of the admin group may gain root privileges
%admin ALL=(ALL) ALL

# Allow members of group sudo to execute any command
%sudo   ALL=(ALL:ALL) ALL

# See sudoers(5) for more information on "#include" directives:

#includedir /etc/sudoers.d

Sin embargo, esto no funcionó, y todavía se me solicitó mi contraseña cada vez que ejecuté un comando como 'nicholsonjf'. Solo pude comenzar a ejecutar comandos sudo como 'nicholsonjf' una vez que eliminé 'nicholsonjf' de los grupos sudo y admin.

¿Alguien puede explicar por qué funcionó?

¿Es porque el usuario 'nicholsonjf' estaba heredando los derechos de sudo de las dos especificaciones de grupo de 'admin' y 'sudo' (vistos a continuación en el archivo sudoers), que anulaban la especificación de usuario 'nicholsonjf' porque estaban más abajo en el ¿archivo de configuración?

La línea que agregó se anuló. De man sudoers:

Cuando varias entradas coinciden para un usuario, se aplican en orden. Cuando hay varias coincidencias, se utiliza la última coincidencia (que no es necesariamente la coincidencia más específica).

En su caso nicholsonjfera miembro del grupo, sudopor lo que para él se aplicaba esta línea:

%sudo   ALL=(ALL:ALL) ALL

Si desea anular las entradas, /etc/sudoerssimplemente coloque las nuevas entradas después de ellas.

La nueva entrada debería verse como

myuser ALL=(ALL) NOPASSWD: ALL para un solo usuario, o

%sudo ALL=(ALL) NOPASSWD: ALL para un grupo

Para un solo usuario, agregue esta línea al final de su sudoersarchivo usandosudo visudo

superuser ALL=(ALL) NOPASSWD: ALL

Para un grupo

%supergroup  ALL=(ALL) NOPASSWD: ALL

Para nunca solicitar al usuario actual una contraseña cuando ese usuario usa sudodo

echo "$USER ALL=(ALL:ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/dont-prompt-$USER-for-password

esto creará un archivo llamado /etc/sudoers.d/dont-prompt-<YOUR USERNAME>-for-sudo-passwordy significará que al usuario que ejecutó ese comando no se le pedirá su contraseña cuando ejecute el sudocomando. Aún se le pedirá la contraseña en otros contextos, como la instalación de cosas desde la aplicación gráfica de Ubuntu Software .

Las ventajas de hacerlo de esta manera sobre agregar la línea en el echocomando para /etc/sudoersusar sudo visudo(como lo sugieren las otras respuestas) son

1. /etc/sudoersa veces se modifica por actualizaciones del sistema, mientras que los archivos /etc/sudoers.dno
2. el sudo visudométodo es propenso a errores (como lo demuestra esta misma pregunta), mientras que copiar / pegar un comando es mucho más difícil de estropear

De acuerdo con sudo cat /etc/sudoers.d/READMEesta característica (de poner archivos sudoer adicionales /etc/sudoers.d) se ha habilitado de forma predeterminada desde Debian 1.7.2p1-1, que salió a fines de la década de 1990 (Ubuntu se basa en Debian ).

Como Vince ha mencionado en un comentario , puede usar esta línea:

%sudo ALL=NOPASSWD: ALL

(Esto es diferente de las líneas que se muestran en esas respuestas , y resolvió el problema para mí).