[Tips] Autoriser des utilisateurs de domaine Active Directory à utiliser sudo sur Ubuntu

Récemment questionné par un « neptunaute » (oui j’aime bien ce terme !), un petit article astuce a vu le jour car c’était une question très pertinente qui peut servir à d’autres : comment faire pour que des utilisateurs d’un domaine aient le droit d’utiliser la commande sudo ?

La réponse est simple : exactement comme pour les utilisateurs locaux de Ubuntu ! On fait le point dans ce post

Autoriser des utilisateurs de domaine à utiliser sudo

Pour venir compléter un article précédent sur l’ajout d’une machine Ubuntu 20.04 à un domaine AD, on va faire un petit post contenant une astuce simple et rapide qui va bien.

Il s’agit d’autoriser des utilisateurs et groupes d’un domaine à utiliser la commande sudo.

Déjà rapidement, la commande sudo sert à exécuter des actions (programmes, commandes diverses…) en tant que super-utilisateur (en gros, l’équivalent de l’administrateur chez Windows). « Su » pour super-utilisateur et « do » pour faire, donc « faire en tant que super-utilisateur ».

Commençons par un simple utilisateur de domaine. Personnellement, je vais garder mon ami Robin présent sur le domaine neptunet.lan.

Quand j’utilise la commande sudo actuellement, j’obtiens ce message d’insulte :

Histoire de ne pas changer 50 fois d’utilisateur à chaque fois que j’ai besoin d’une update ou autre, je vais l’ajouter au groupe sudo de ma machine Ubuntu qui est, elle aussi bien entendu, dans le domaine neptunet.lan. La commande est la suivante :

sudo adduser robin@neptunet.lan sudo

En me connectant ensuite au compte de Robin en ligne de commande, j’ai un message m’indiquant comment utiliser la commande sudo, preuve que l’ajout à bien fonctionné.

Maintenant, disons que j’ai besoin que plusieurs utilisateurs de mon domaine aient le droit d’utiliser la commande sudo mais que j’ai la flemme de les ajouter un à un… et bien je vais directement autoriser un groupe de mon domaine et mettre mes utilisateurs dedans !

Pour ce tuto, j’ai créé un utilisateur « batman » dans mon domaine (oui j’ai beaucoup d’imagination merci) ainsi qu’un groupe de sécurité global « sudoers ».

Mon utilisateur de domaine batman est membre de mon groupe de domaine sudoers.

Sur Ubuntu, il va falloir modifier un fichier qui gère les droits d’accès à la commande sudo appelé « sudoers ». Pour l’éditer, oubliez de suite nano ^^ il faut utiliser la commande suivante :

sudo visudo

Ensuite, il faut ajouter une ligne à ce fichier comprenant le nom du groupe de domaine que l’on veut autoriser. La syntaxe est la suivante :

%sudoers@neptunet.lan ALL=(ALL:ALL) ALL

Une fois le groupe ajouté, quittez le fichier en enregistrant la modification.

Maintenant, si je tente d’utiliser la commande sudo avec mon utilisateur batman, tout fonctionne parfaitement, plus de message d’insulte !

Une petite variante maintenant qui peut être utile…

Dans le cas où le nom de mon groupe comporte des espaces, il faut ajouter des guillemets dans le fichier sudoers.

Par exemple, j’ai ajouté un utilisateur « joker » au groupe « admins du domaine » comme on peut le voir ci-dessous :

Je modifie de nouveau le fichier sudoers grâce à la commande sudo visudo et j’y ajoute la ligne suivante, avec des guillemets bien placés sinon le fichier va me renvoyer une erreur de syntaxe :

"%admins du domaine@neptunet.lan" ALL=(ALL:ALL) ALL

Maintenant je connecte mon utilisateur de domaine joker et je tente d’utiliser la commande sudo :

Pas de problème, mon utilisateur membre du groupe admins du domaine de mon domaine neptunet.lan a bien l’autorisation d’utiliser la commande sudo.

Voilà, c’est tout pour ce tips, plutôt simple pas vrai ? A bientôt