문제
운영팀(ops 그룹) 담당자들이 새벽 장애 대응 시 서비스 구동 상태만 확인할 수 있어야 하는데, 현재는 root 비밀번호를 공유하고 있어 감사에서 지적을 받았습니다. 최소 권한 원칙에 따라 /etc/sudoers.d 드롭인 파일로 ops 그룹에게 서비스 상태 조회만 비밀번호 없이 위임하는 정책을 직접 작성하세요.
규칙은 /etc/sudoers.d/ops-view 에만 작성하고 /etc/sudoers 본문은 수정하지 마세요. 주석을 제외한 정책은 한 줄이어야 하며, 명령 목록에 ALL 을 사용하거나 여러 명령을 쉼표로 나열해서는 안 됩니다. 하위 인자에 와일드카드를 쓸 경우 sudoers 문법대로 따옴표 없이 적되(예: status *), 셸에서 파일을 생성할 때 글로빙이 일어나지 않게만 주의하세요.
요구 사항
1. /etc/sudoers.d/ops-view 파일을 만들고, 소유자는 root:root, 권한은 sudo 가 요구하는 440 이어야 합니다.
2. 정책은 개별 계정이 아니라 ops 그룹 구성원 전체에 적용되고, 모든 호스트(Host_List)에서 유효해야 합니다.
3. ops 그룹 구성원은 해당 명령을 root 권한으로 실행할 수 있어야 하며(Runas 를 (ALL) 또는 (root) 형태로 명시), sudo 실행 시 비밀번호를 묻지 않아야 합니다.
4. 허용 명령은 systemctl 의 status 하위 명령 하나뿐이어야 합니다. 명령은 절대 경로로 지정하고, 그 외 명령(재시작·중지 등)은 실행할 수 없어야 합니다.
사용자·그룹/인증 관련 실습 문제
LPIC 문제 전체 보기