sudoer 파일 문제 해결

이 페이지에서는 sudo 명령줄 유틸리티 사용, sudoers 플러그인 관리, 문제 발생 방지 또는 해결에 대한 팁을 보여줍니다.

문제 원인

sudo 명령어를 실행할 때마다 sudoers 파일 검증을 위해 다음 프로세스가 수행됩니다.

  • 문법이 올바른지 검사합니다.
  • 일부 논리적 오류를 제외하기 위해 콘텐츠를 분석합니다.
  • 소유권 및 권한을 확인합니다.

다음 오류로 인해 sudoers 파일 검증이 실패할 수 있습니다.

구문 오류

sudoers 파일을 변경할 때는 다음과 같은 특정 문법 규칙을 따라야 합니다. 누락되었거나 여분의 문자 또는 부적절한 쉼표 등의 문법 오류가 있으면 파일이 부적합할 수 있습니다. 파일이 부적합하면 sudo 유틸리티를 사용할 수 없습니다.

해결책

해결책은 visudo 유틸리티를 사용하여 sudoers 파일을 수정하는 것입니다. 저장하기 전 파일 콘텐츠를 검증하고 오류가 있으면 알림을 표시합니다. visudo 유틸리티는 안전한 방식으로 파일을 수정하기 위해 생성되었습니다.

다음 예시에는 올바른 문법 샘플과 잘못된 문법 샘플을 모두 보여줍니다.

올바른 문법

user   ALL=(ALL) ALL

잘못된 문법

user   ALL=(ALL), ALL

문법 오류 예시

$ sudo useradd username
/etc/sudoers:20:17: syntax error
user   ALL=(ALL), ALL
                ^

논리적 오류

이 유형의 오류는 다음 중 하나로 인해 발생할 수 있습니다.

  • sudoers 플러그인의 원칙에 대한 잘못된 이해
  • 잘못된 문법 오류

그러나 논리적 오류는 문법 규칙을 위반하지 않기 때문에 감지하기에 까다롭기 때문에 검증 중에 인식되지 않습니다.

해결책

공식 문서를 신중하게 검토하고 파일을 수정할 때 원칙을 준수해야 합니다.

또한 다음과 같이 일부 유형의 논리적 오류를 인식할 수 있기 때문에 visudo 유틸리티를 사용해서 sudoers 파일을 수정하는 것이 좋습니다.

  • 정의되지 않았거나 사용되지 않은 별칭
  • 순환 참조
  • 중복 입력

문제가 감지되면 경고 메시지가 표시됩니다.

다음 예시는 논리적으로 올바른 샘플과 잘못된 샘플을 모두 보여줍니다.

논리적으로 올바른 샘플

barbara   ALL=(ALL:ALL) /usr/bin/ls

논리적으로 잘못된 샘플

barbara   ALL=(4LL:ALL) /usr/bin/ls
               ^
barbara   ALL=(ALL;ALL) /usr/bin/ls
                  ^
bar6ara   ALL=(ALL:ALL) /usr/bin/1s
   ^                             ^

잘못된 권한

sudoers 파일 콘텐츠로 인해 발생하는 오류 외에도 과도한 파일 권한 또는 잘못된 소유권으로 인해 sudo 유틸리티가 실패할 수도 있습니다.

해결책

실패한 sudo 명령어의 출력에서 이러한 오류에 대한 설명을 볼 수 있습니다. 오류 메시지 설명을 자세히 읽고 필요한 수정 작업을 수행합니다.

다음은 올바른 파일 권한 및 소유권에 대한 예시입니다.

$ ls -l /etc/sudoers
-r--r----- 1 root root 700 Jan 1 12:00 /etc/sudoers

$ sudo useradd username

다음 예시는 모든 사용자 권한 그룹에 대해 중복된 권한이 있을 때 표시되는 오류를 보여줍니다.

$ ls -l /etc/sudoers
-r--r---w- 1 root root 700 Jan 1 12:00 /etc/sudoers

$ sudo useradd username
sudo: /etc/sudoers is world writable
sudo: no valid sudoers sources found, quitting
sudo: error initializing audit plugin sudoers_audit

다음 예시는 잘못된 소유권에 대해 표시되는 오류를 보여줍니다. 이 예시에서는 ID가 0이 아닌 사용자(또는 root가 아닌 사용자)가 파일의 소유자입니다.

$ ls -l /etc/sudoers
-r--r----- 1 user user 700 Jan 1 12:00 /etc/sudoers

$ sudo useradd username
sudo: /etc/sudoers is owned by uid 1000, should be 0
sudo: no valid sudoers sources found, quitting
sudo: error initializing audit plugin sudoers_audit

sudoers 파일 구성에 대한 자세한 내용은 Sudoer 설명서를 참조하세요.

visudo 편집기 관리 및 사용 방법을 알아보려면 Visudo 설명서를 참조하세요.

문제 결과

sudoers 파일의 문제는 부정적인 효과를 일으키고 전체 시스템의 기능에 영향을 줄 수 있습니다.

  • sudo 명령어가 더 이상 작동하지 않습니다.

    이것은 sudoers 파일 문제의 가장 두드러진 결과입니다. 그 결과 사용자에 대해 승격된 권한을 사용할 수 없어서 서버에서 사용자의 작업이 차단됩니다.

    그러나 보다 중대하고 예측할 수 없는 결과는 sudo 명령어에 의존하는 애플리케이션 오류입니다. 일부 경우에는 이로 인해 애플리케이션이 완전히 실패하고 예기치 않은 동작, 충돌 또는 데이터 손실로 이어질 수 있습니다. 또 다른 예시는 OS 부팅 시퀀스 및 실패 시 애플리케이션에서 sudo 명령어를 호출할 때 발생합니다. 그 결과 OS 오류로 이어지거나 부팅 시퀀스가 중단될 수 있습니다.

  • 시스템에 대한 무단 액세스 가능

    또 다른 위험한 결과는 sudoers 파일의 문제가 시스템 무단 액세스로 이어질 수 있다는 것입니다. 이러한 문제는 sudoers 파일의 규칙에 따라 일부 사용자 또는 그룹에 과도한 권한이 부여되는 논리적 오류로 인해 발생할 수 있습니다.

    또한 시스템 소유자가 로그인해서 문제를 해결하기 위해 시스템 방어 수단을 일시적으로 사용 중지하거나 약화하기 때문에 이 문제가 발생할 수도 있습니다.

문제 발생 시 복구

승격된 사용자 권한이 손실되거나 sudoers 파일 문제로 인해 sudo 명령어를 사용할 수 없으면 복구를 위해 수퍼유저 계정을 사용합니다.

Unix와 비슷한 운영체제에서 수퍼유저는 ID가 0인 특별한 사용자 계정이며 일반적으로 root라고 부릅니다. 수퍼유저는 시스템 리소스에 대한 전체 액세스 권한을 가지며 제한 없이 모든 관리 태스크를 수행할 수 있습니다. 수퍼유저 대신 OS와 상호작용하는 것은 일반적으로 안전하지 않은 것으로 간주되지만 sudoers 파일 복구와 같은 특정 태스크의 경우 유일한 옵션일 수 있습니다.

수퍼유저로 직접 로그인하면 OS가 위험에 노출됩니다. 이러한 위험을 방지하기 위해서는 수퍼유저를 대신해서 실행되는 시작 스크립트 기능을 사용하는 것이 좋습니다.

Compute Engine 시작 스크립트에 대해 자세히 알아보세요.

시작 스크립트로 sudoers 파일을 복구하려면 다음을 수행합니다.

  1. 이미 사용 중이면 현재 시작 스크립트의 백업 복사본을 만듭니다. 백업 방법은 시작 스크립트가 구성된 방법에 따라 달라집니다.

    시작 스크립트

    스크립트 콘텐츠가 메타데이터 값에 직접 설정된 경우 스크립트 콘텐츠를 Cloud Storage 버킷, 로컬 파일 또는 다른 임시 비공개 스토리지에 복사할 수 있습니다.

    startup-script-url

    스크립트 콘텐츠가 원격 스토리지에 이미 있고 해당 URL 주소가 사용된 경우 startup-script-url 메타데이터 키만 임시로 삭제하여 현재 시작 스크립트를 사용 중지할 수 있습니다.

  2. 다음 명령어 시퀀스로 시작 스크립트를 업데이트합니다.

    mv /etc/sudoers /etc/sudoers.backup.$(date +"%s") && echo "%google-sudoers ALL=(ALL:ALL) NOPASSWD:ALL" > /etc/sudoers && chown 0:0 /etc/sudoers && chmod 0440 /etc/sudoers

    명령어 기능에 대해 자세히 알아보세요.

    mv /etc/sudoers /etc/sudoers.backup.$(date +"%s")

    이 명령어는 다른 이름으로 /etc/sudoers 파일 복사본을 만들고 원래 파일을 삭제합니다. 이름이 고유하도록 새 파일에는 이름 끝에 타임스탬프가 포함됩니다(예: sudoers.backup.1672527600).

    echo "%google-sudoers ALL=(ALL:ALL) NOPASSWD:ALL" > /etc/sudoers

    이 명령어는 VM 액세스 권한이 있는 허가된 Google Cloud 사용자가 시스템 사용자를 대신해서 모든 명령어를 실행할 수 있게 허용하는 단일 규칙을 사용해서 이전에 삭제된 파일 /etc/sudoers를 만듭니다. 이 규칙은 항상 추가 파일 /etc/sudoers.d/google_sudoers에 기본적으로 존재합니다.

    chown 0:0 /etc/sudoers

    이 명령어는 /etc/sudoers 파일 소유자를 해당 ID가 0인 사용자 및 해당 ID가 0인 그룹의 소유자 그룹으로 설정합니다.

    chmod 0440 /etc/sudoers

    이 명령어는 /etc/sudoers 파일의 권한을 읽기 전용으로 설정하고 해당 소유자 및 소유자 그룹만 파일을 읽도록 허용합니다.

  3. 실행 중인 경우 VM을 중지합니다. VM을 다시 시작하여 시작 스크립트 실행을 트리거합니다.

  4. VM에 연결하고 손상된 sudoers 파일을 수정하여 복구합니다.

    sudo visudo /etc/sudoers.backup.TIMESTAMP

  5. 변경사항을 저장하고 현재 /etc/sudoers 파일을 바로 전에 수정한 파일로 바꿉니다.

    sudo mv /etc/sudoers.backup.TIMESTAMP /etc/sudoers

  6. sudo 명령어 및 승격된 권한을 사용해서 원래 문제가 해결되었는지 확인합니다.

  7. 임시 시작 스크립트를 삭제하고 원래 항목을 복원합니다(사용된 경우).

다음 단계