Définir les droits avant d’ajouter un utilisateur aux sudoers

Ajouter un utilisateur aux sudoers lui donne la possibilité d’exécuter certaines opérations avec des droits administrateur. Selon la règle appliquée, il peut installer des logiciels, modifier des services ou accéder à des fichiers sensibles : ce n’est donc pas un simple réglage de compte.

Sur un poste de test, un accès général peut convenir à la personne qui administre la machine. Sur un serveur partagé, mieux vaut définir les commandes nécessaires, la durée de l’accès et la personne responsable. Un compte nominatif permet aussi de relier plus clairement une action à son auteur.

Avant de choisir une commande, vérifiez la distribution et le niveau d’accès attendu. Les groupes utilisés par défaut ne portent pas toujours le même nom.

Repères selon la distribution :

  • Debian et Ubuntu utilisent généralement le groupe sudo pour les privilèges sudo.
  • Red Hat, Rocky Linux, AlmaLinux et Fedora utilisent souvent le groupe wheel.
  • Une règle individuelle convient à un besoin ciblé, si elle est correctement contrôlée.
  • Un accès temporaire doit être associé à une date de révision ou de retrait.
Famille de systèmes Groupe fréquent Vérification utile
Debian sudo Contrôler la règle active dans sudoers
Ubuntu sudo Vérifier l’appartenance du compte au groupe
Red Hat et dérivées wheel Vérifier que la règle wheel est activée
Fedora wheel Confirmer la configuration locale de sudo

Créer le compte et choisir le bon groupe sudo

Une fois le besoin défini, créez un compte personnel plutôt qu’un identifiant partagé. Sur Debian ou Ubuntu, adduser crée le compte de manière interactive, tandis que les systèmes de la famille Red Hat emploient souvent useradd, suivi de la définition du mot de passe.

A lire également :  Menu demarer transparent Windows 11 : le réglage expliqué

Dans cet exemple, Alice est le compte à configurer. Adaptez le nom et la commande à votre système : les conventions locales et les politiques d’entreprise peuvent différer.

Commandes courantes pour créer le compte :

  • Debian ou Ubuntu : sudo adduser alice
  • Red Hat ou dérivées : sudo useradd -m alice
  • Définition du mot de passe : sudo passwd alice

Ajoutez ensuite l’utilisateur au groupe correspondant. L’option -aG ajoute un groupe secondaire sans remplacer les autres appartenances, contrairement à une commande mal construite qui pourrait modifier les groupes existants.

Ajout au groupe prévu par la distribution :

  • Debian ou Ubuntu : sudo usermod -aG sudo alice
  • Red Hat, Rocky ou Fedora : sudo usermod -aG wheel alice

Selon la configuration Linux installée, appartenir au groupe ne suffit pas si la règle correspondante est désactivée. Une nouvelle session est également nécessaire pour que l’utilisateur récupère ses groupes actualisés.

Modifier le fichier sudoers avec la commande visudo

Si le groupe ne correspond pas au besoin, ou si l’accès doit rester limité, examinez les règles sudoers. Ne modifiez pas directement le fichier sudoers avec un éditeur ordinaire : une erreur de syntaxe peut rendre la configuration invalide et compliquer l’administration.

La méthode sûre consiste à lancer la commande visudo, qui vérifie la syntaxe avant de valider les changements. Pour une règle particulière, un fichier séparé dans /etc/sudoers.d/ facilite souvent la revue et évite d’accumuler des exceptions dans le fichier principal.

Options de configuration à considérer :

  • Accès large par groupe, réservé aux administrateurs qui en ont réellement besoin.
  • Règle nominative limitée à une commande précise et documentée.
  • Accès sans mot de passe, à réserver aux automatisations justifiées et restreintes.
  • Fichier dédié dans sudoers.d, vérifié avec visudo avant déploiement.
A lire également :  Afficher les fichiers cachés Windows 11 : ce qui change

Par exemple, une règle peut autoriser Alice à redémarrer le service nginx. Il faut vérifier le chemin exact de la commande et ses effets : certaines commandes apparemment ciblées peuvent permettre d’obtenir un accès plus large.

Exemple de règle limitée : alice ALL=(root) /usr/bin/systemctl restart nginx. Selon la documentation de sudo, les permissions et les commandes autorisées doivent être définies avec précision ; ne copiez pas une règle sans en comprendre la portée.

Tester les privilèges sudo sans risquer de perdre l’accès

Après l’ajout au groupe ou la modification d’une règle, gardez ouverte la session d’administration existante. Ouvrez une seconde session avec le nouveau compte : cette précaution permet de corriger un problème sans perdre immédiatement l’accès à la machine.

Depuis cette session, contrôlez les groupes et les privilèges disponibles. Les commandes suivantes vérifient l’accès sans lancer d’opération de maintenance destructive.

Contrôles à effectuer avec le compte cible :

  • id affiche les groupes chargés dans la session.
  • sudo -v vérifie que sudo accepte l’authentification.
  • sudo whoami confirme l’identité utilisée pour la commande élevée.
  • sudo -l détaille les commandes autorisées à cet utilisateur.

Si l’ajout au groupe vient d’être réalisé, une ancienne session SSH peut encore présenter les groupes précédents. Une nouvelle connexion permet de tester l’état réellement appliqué, plutôt que de modifier sudoers pour compenser un simple délai de session.

Symptôme Cause possible Contrôle conseillé
Utilisateur absent des sudoers Groupe ou règle manquante Vérifier id et sudo -l
Groupe présent, accès refusé Session non renouvelée Ouvrir une nouvelle connexion
Échec après édition Erreur de syntaxe Contrôler avec visudo
Commande ciblée refusée Chemin ou paramètres différents Vérifier le chemin exécuté et la règle

Un test réussi confirme que l’accès fonctionne, mais pas qu’il est proportionné. Comparez toujours le résultat de sudo -l avec le besoin qui a justifié la demande.

A lire également :  Migration Windows 10 vers 11 : le réglage expliqué

Réviser et retirer les accès sudo devenus inutiles

La gestion des privilèges ne s’arrête pas lorsque le premier test réussit. Un compte temporaire oublié ou une règle nominative laissée dans sudoers.d peut conserver des droits longtemps après la fin d’une intervention.

Lors d’une revue, examinez les membres du groupe sudo ou wheel ainsi que les règles individuelles. Associez chaque accès à un responsable et à un besoin identifiable ; pour un prestataire, prévoyez dès le départ une échéance de retrait.

Points à vérifier pendant une revue d’accès :

  • Comptes nominatifs encore utilisés et associés à une personne responsable.
  • Appartenance au groupe sudo ou wheel conforme au rôle actuel.
  • Règles individuelles toujours nécessaires dans sudoers.d.
  • Accès temporaires retirés après la fin de l’intervention.

Pour retirer Alice du groupe sudo sur Debian ou Ubuntu, une commande possible est sudo deluser alice sudo. Sur un système utilisant wheel, utilisez la commande adaptée, puis vérifiez aussi les règles sudoers : retirer un groupe ne supprime pas une permission accordée séparément à l’utilisateur.

Enfin, consignez la modification dans le suivi d’exploitation : compte concerné, groupe ou règle modifiée, vérification réalisée et responsable de la demande. Cette trace aide à expliquer les décisions et à repérer les accès qui ne correspondent plus aux besoins.