sudoとrootの正体

1行目のwhoami(who am iの略)は「今操作しているのは誰か」を表示するコマンドです。0-3でも使いましたが、改めて確認すると、私たちは今ubuntuという一般ユーザーとして操作しています。2行目のidは、そのユーザーの正体をもっと詳しく見せてくれるコマンドで、UID^※1(ユーザーID)・GID(グループID)・所属している全グループが出力例のように並びます。ここで注目してほしいのが末尾の27(sudo)です。ubuntuユーザーはsudoという特別なグループに所属している、という事実がこの後の全ての鍵になります。3行目のgroupsでも同じ所属グループを、より手短な形式で確認できます。

4行目のsudo whoamiを見てください。ただのwhoamiはubuntuと返しましたが、頭にsudoを付けただけで結果がroot^※3に変わります。sudoとはSuper User DO^※2の略で、「このコマンド1回分だけ、管理者(root)として実行する」という意味の命令です。ubuntuユーザーのままなのに、このコマンドの瞬間だけrootに変身している、とイメージしてください。5行目のsudo idを実行すると、出力例のとおりuid=0(root)と表示され、SET 1冒頭で見た自分自身のIDとは別人であることがはっきりわかります。

この違いを痛感できるのが6行目と7行目の対比です。/etc/shadow^※4はユーザーのパスワード情報が暗号化されて記録されている、非常に重要度の高いファイルです。6行目のようにsudoなしでcatすると、出力例のとおりPermission denied(権限がありません)と拒否されます。ところが7行目のようにsudoを付けた瞬間、同じファイルの中身が読めてしまいます。なぜsudoが必要かというと、/etc/shadowはroot以外が読めないよう厳重に守られたファイルだからです。ubuntuユーザーの権限のままでは絶対に読めません。

8行目のls -l /etc/shadowでその理由を裏付けます。出力例の先頭にある-rw-r-----という権限表示(詳しくは2-4で読み方を学びます)と、所有者root・所有グループshadowから、「rootと一部の特権グループしかこのファイルに触れない」設計になっていることがわかります。9行目で/etc/passwd(こちらはユーザー一覧を記録する別のファイルで、2-2で詳しく扱います)の権限も見比べておくと、同じ「ユーザー情報」でも守られ方が全く違うことに気づけます。最後の10行目のsudo -vは、直前に入力したパスワードの有効期限をリセットし、しばらくパスワード入力なしでsudoを使えるようにするコマンドです(validate=検証の意味)。

1行目で現在地がホームディレクトリであることを確認し、2行目のecho $HOMEで環境変数$HOMEが/home/ubuntuであることも確認しておきます。3行目のsudo -iがこのセットの主役です。ここまでのsudo コマンドは「そのコマンド1回だけ管理者権限で実行する」ものでしたが、sudo -iは違います。rootユーザーとしてログインし直し、そのままrootのシェル(操作画面)に居座るという、一段階踏み込んだ命令です。実行するとターミナルのタイトルバーとプロンプトの記号が切り替わることに注目してください。プロンプトが$から#に変わったら、それは今この瞬間からrootとして操作している合図です。

4行目のwhoamiでrootになったことを確認し、5行目のpwdを見ると、なんとホームディレクトリが/home/ubuntuではなく/rootに変わっています。6行目のecho $HOMEでも同じく/rootが返り、SET 2冒頭で見たubuntuの$HOMEとは別物になっていることがわかります。これはsudo -iが単に権限を貸すだけでなく、rootという別人の環境に完全にログインし直しているためです。7行目のidを打てば、uid=0(root)という表示が確認できるはずです。Linuxの世界ではUID 0が常にrootを意味します。8行目のls -la /rootで、root専用のホームディレクトリの中身も覗いておきましょう。

9行目のexitでrootのシェルから抜け、元のubuntuユーザーに戻ります。最後の10行目のwhoamiで、無事ubuntuユーザーに戻れたことを確認して締めくくります。rootのシェルに入りっぱなしにしないことが重要です。rootは全てのファイルを削除でき、全ての設定を変更でき、ミスをしても止めてくれる仕組みがありません。用が済んだらexitですぐに一般ユーザーへ戻る習慣をつけましょう。

1行目で/etc/sudoersというファイルを見ようとしますが、これも/etc/shadowと同様にPermission deniedで拒否されます。2行目のようにsudoを付けて初めて中身が見えます。この/etc/sudoers^※5こそが、「誰がsudoを使えるか」を定義している設定ファイルの本体です。出力例にある%sudo ALL=(ALL:ALL) ALLという行は、「sudoグループに所属するユーザーは、全てのホストで、全てのユーザーとして、全てのコマンドを実行してよい」という意味です。SET 1で確認した「ubuntuユーザーがsudoグループに入っているから管理者権限を使える」という事実が、この1行に直結しています。

3行目のls -lで権限を見ると、/etc/shadowと同じくroot以外は書き込めない(多くの場合、読み取りすら制限された)厳重な設定になっていることがわかります。このファイルは直接編集してはいけません。書式を1文字でも間違えるとsudoコマンド自体が使えなくなり、最悪の場合サーバーを操作できなくなってしまいます。そのため専用の編集コマンドvisudoが用意されています。4行目のls /etc/sudoers.dは、/etc/sudoers本体を直接編集しなくても、このディレクトリに設定ファイルを追加する形で権限ルールを拡張できる仕組みがあることを覗いています(中身は空か、Lightsailの初期設定ファイルが1つある程度です)。5行目のwhich(1-5で学んだコマンド)でvisudoの存在だけ確認しておきます。visudoは書式を自動チェックしてくれる安全装置付きのエディタで、今回は「存在を知る」だけにとどめ、実際の編集はこの講座では扱いません。

6行目のsudo -l(list)は、今の自分にどんなsudo権限が許可されているかを一覧表示するコマンドです。7行目のgroupsは、idより手軽に所属グループだけを一覧できるコマンドです。8行目のsudo -k(kill timestamp)は、SET 1のsudo -vとは逆に、パスワード入力なしでsudoを使える猶予時間を強制的にリセットするコマンドです。これを打つと次にsudoを使う際は必ずパスワードを聞かれるようになります。9行目のcd ~、10行目のpwdでホームディレクトリに戻ったことを確認し、このページを締めくくります。