Quelltext der Seite Doas

{{SEITENTITEL:doas}}{{righttoc}}
[[Kategorie:Sicherheit]]
[[Kategorie:Befehle]]


OpenDoas ist eine portable Version des OpenBSD-Befehls [[Wikipedia:doas|doas]], der dafür bekannt ist, dass er im Vergleich zu [[sudo]] wesentlich kleiner ist. Wie ''sudo'' wird ''doas'' benutzt, um die Identität eines anderen Benutzers auf dem System anzunehmen.

{{installation|paket=opendoas|repo=community}}

== Verwendung ==

Um ''doas'' als nicht-privilegierter Benutzer zu benutzen, muss es richtig konfiguriert werden. Siehe [[#Konfiguration]].

Um ''doas'' zu verwenden, stellen Sie einem Befehl und seinen Argumenten einfach {{ic|doas}} und ein Leerzeichen voran:

 $ doas ''cmd''

Zum Beispiel, um [[pacman]] zu benutzen:

 $ doas pacman -Syu

Um eine interaktive Shell mit Root-Prompt aufzurufen:

 $ doas -s

Für weitere Informationen, siehe [https://man.archlinux.org/man/doas.1 doas(1)].

== Konfiguration ==

Ein [https://wiki.archlinux.org/title/PAM PAM]-Modul wird installiert, aber keine Standardkonfiguration oder Beispiele sind enthalten. 

Um Mitgliedern der Gruppe [https://wiki.archlinux.org/title/Users_and_groups#Group_list wheel] zu erlauben, Befehle als andere Benutzer auszuführen, erstellen Sie eine Konfigurationsdatei mit dem folgenden Inhalt:

{{hc|/etc/doas.conf|
allow :wheel

}}
{{Hinweis|Die Konfigurationsdatei muss mit einem Zeilenumbruch enden.}}

Der Eigentümer und die Gruppe für {{ic|/etc/doas.conf}} sollten beide {{ic|0}} sein, die Dateirechte sollten auf {{ic|0400}} gesetzt werden:

 # chown -c root:root /etc/doas.conf
 # chmod -c 0400 /etc/doas.conf

Um {{ic|/etc/doas.conf}} auf Syntaxfehler zu überprüfen, führen Sie aus:

 # doas -C /etc/doas.conf && echo "config ok" || echo "config error" 

{{Achtung|Es ist zwingend erforderlich, dass {{ic|/etc/doas.conf}} frei von Syntaxfehlern ist!}}

Um Mitgliedern der Gruppe {{ic|plugdev}} zu erlauben, [https://wiki.archlinux.org/title/S.M.A.R.T.#smartctl smartctl] ohne Passwort als root-Benutzer auszuführen:

{{hc|/etc/doas.conf|
permit nopass :plugdev as root cmd /usr/bin/smartctl
}}

Die allgemeine Syntaxform von {{ic|/etc/doas.conf}} lautet

 permit|deny [options] identity [as target] [cmd command [args ...]]

Für weitere Details lesen Sie [https://man.archlinux.org/man/doas.conf.5 doas.conf(5)].

Erwägen Sie, [[Bash#Tab-Vervollständigung|Tab-Vervollständigung]] für den ''doas''-Befehl einzurichten.

== Tipps und Tricks ==

=== doas persist Funktion ===

''doas'' bietet eine Persist-Funktion: Nachdem sich der Benutzer erfolgreich authentifiziert hat, wird für einige Zeit nicht mehr nach einem Passwort gefragt. Sie ist standardmäßig deaktiviert, aktivieren Sie sie mit der Option {{ic|persist}}:

{{hc|/etc/doas.conf|
allow persist :wheel
}}

{{Hinweis|Die persist-Funktion ist standardmäßig deaktiviert, da sie neu und potentiell gefährlich ist. Im ursprünglichen ''doas'' wird eine Kernel-API benutzt, um Timeouts zu setzen und zu löschen. Diese API ist OpenBSD-spezifisch und es gibt keine ähnliche API auf anderen Betriebssystemen. Als Workaround wird die persist-Funktion mit Hilfe von Zeitstempeldateien ähnlich wie bei ''sudo'' implementiert.}}

=== Reibungsloser Übergang von sudo zu doas ===

Für einen reibungslosen Übergang von ''sudo'' zu ''doas'' und um abwärtskompatibel zu bleiben, können Sie in Ihrer Umgebung folgendes hinzufügen

 alias sudo='doas'
 alias sudoedit='doas rnano'

Oder alternativ können Sie einen Symlink von ''doas'' dorthin legen, wo normalerweise ''sudo'' liegen würde (bietet keine [https://man.archlinux.org/man/sudo.8.en sudoedit(8)]):

 # ln -s $(welches doas) /usr/bin/sudo

{{AUR|opendoas-sudo}} bietet diesen Symlink ebenfalls an.

{{Hinweis|Standardmäßig behält ''sudo'' einige Umgebungsvariablen bei, während ''doas'' dies nicht tut, insbesondere XAUTHORITY, LANG und LC_ALL. Das bedeutet, dass Sie ohne weitere Konfiguration weder grafische Anwendungen unter X weder starten noch auf das Gebietsschema des Benutzers zugreifen können. Um beispielsweise Mitgliedern der Gruppe ''wheel'' zu erlauben, grafische Anwendungen zu starten und auf das Gebietsschema des Benutzers zuzugreifen, verwenden Sie die Option setenv:

{{hc|/etc/doas.conf|
allow setenv { XAUTHORITY LANG LC_ALL } :wheel
}}
}}

=== Bash-Tab-Vervollständigung ===

Standardmäßig vervollständigt die Bash nur Dateien und Verzeichnisse innerhalb des aktuellen oder referenzierten Verzeichnisses mit Tabs. Um die Bash zu veranlassen, Argumente so zu vervollständigen, als ob sie separate Befehle wären (und dabei auch die Tab-Vervollständigungseinstellungen anderer Befehle zu nutzen), kann das Folgende entweder dem Benutzer {{ic|.bashrc}} oder der globalen {{ic|/etc/bash.bashrc}} hinzugefügt werden:

{{hc|~/.bashrc|
complete -cf doas
}}

{{ÜberFDL||Seite=http://wiki.archlinux.org|Name=ArchLinux.org Wiki|Original=https://wiki.archlinux.org/title/Doas}}