シェフを使ってsudoersファイルを管理すべきですか？

Question

これは私の質問です。シェフがsudoersファイル内の何かを、おそらくはシェフのユーザーが誤ってcookbookを使って壊してしまった場合、サーバーは完全にアクセスできなくなるのではないかと心配しています。

私はsudoersファイルを混乱させ、もはやボックスに入ることができないので、私たちが顧客用のプロダクションサーバを完全に失うのは嫌です。

Answer 1

シェフには、この検証者を支援する機能があります。あなたは、このようなあなたのsudoerテンプレートにverifiesを設定することができます。

template '/etc/sudoers' do 
    source 'whatever.erb 
    verify 'visudo -c -f %{path}' 
end 

visudoを構文を拒否した場合、一時ファイルの場所に置かれることはありません飽きないだろうと収束が失敗します。確かに、構文上有効ではあるが役に立たないsudoersがあれば、これは役に立ちません。 /etc/sudoers.d構造を使用することを検討することができます。これは、各ビットを少なくともいくらか分離しておき、誤って迷惑にならないようにするためです。