Unir hosts Linux a un dominio de Active Directory con SSSD y kingdomd

El sistema operativo Linux ha recorrido un largo camino desde 1991, cuando Linux Torvalds lo introdujo por primera vez como un sistema operativo gratuito. Hoy en día, se utiliza alguna forma de Linux en todo, desde servidores de alta gama y máquinas virtuales hasta dispositivos IoT y dispositivos integrados. La mayoría de las veces, las plataformas de bases de datos comunes, como Oracle, PostgreSQL, MySQL y MongoDB, se implementan en servidores que ejecutan Linux.

Una excepción notable fue Microsoft SQL Server. Eso cambió cuando Microsoft anunció soporte para Linux a partir de SQL Server 2017. Sin embargo, Microsoft no proporciona una forma sencilla de integrar hosts Linux en Active Directory (AD), lo que dificulta su administración.

Afortunadamente, existe una manera fácil de integrar Linux con AD para sistemas Windows locales y en la nube: mediante el uso de kingdomd y System Security Services Daemon (SSSD).

Lea esta guía para aprender cómo integrar Linux con Active Directory. También cubriremos cómo unirse a AD usando kingdomd, cómo es usar SSSD y cómo asignar identificadores únicos (UID) e ID de grupo (GID) de Linux a identificadores de sitio (SID) en AD.

Un breve resumen de la interacción de Linux con Active Directory

A modo de introducción, aquí hay un breve resumen de cómo Linux interactúa con AD.

Las principales razones para unir una máquina Linux a un servicio de directorio basado en el Protocolo ligero de acceso a directorios (LDAP) como Windows AD incluyen:

• Políticas comerciales
• Control de acceso
• Gestión de identidad centralizada

Al unir un host Linux a Active Directory (AD), se requieren dos componentes:

• Uno para gestionar la fuente central de identidad y autenticación (Active Directory)
• Uno para manejar el descubrimiento de dominio y actuar como intermediario entre el primer componente y la fuente de identidad.

A lo largo de los años, ha habido algunas opciones de configuración para unir una máquina Linux a AD. La mayoría han sido inconvenientes de configurar y requirieron que usted configurara manualmente (SSSD para unir dominios. Sin embargo, la suite kingdomd le permite completar la tarea sin la engorrosa edición del archivo de configuración.

Cómo integrar un host Linux en un dominio de Windows AD

Ahora veamos los pasos para integrar un host Linux que se ejecuta en CentOS 8 en un dominio de Windows Active Directory (AD) configurado en Windows 2012 R2 Server Standard Edition. (La razón por la que especificamos las versiones y tipos de la distribución de Linux y Windows Server es porque existen diferencias sutiles entre las versiones de Linux y Windows. Por ejemplo, en CentOS/RHEL 8, las actividades del cliente y del servidor del Protocolo de tiempo de red (NTP) se administraban usando el demonio ntp, pero en CentOS/RHEL 8, ha sido reemplazado por el demonio chrony.)

Paso 1: Asegúrese de que se especifiquen el nombre de host y el FQDN.

Asegúrese de que el nombre de host y el nombre de dominio completo (FQDN) estén especificados en el archivo /etc/hosts. El nombre de host no puede ser localhost, ya que está asignado al adaptador de bucle invertido 127.0.0.1. Si necesita cambiar el nombre de host existente, use el siguiente comando para cambiarlo al nombre deseado. No es necesario especificar el FQDN como parte del nombre de host.

[root@oldhostname ~]# hostnamectl set-hostname <new_host_name>

[root@newhostname~]# echo 192.168.44.9 sblinmssql2019 >> /etc/hosts

Paso 2: especifique el controlador de dominio AD.

Especifique el controlador de dominio AD (DC) en el archivo /etc/hosts usando el siguiente comando:

[root@newhostname~]# echo 192.168.xx.x sbad.sbits.net sbad >> /etc/hosts

[root@newhostname~]# ping sbad.sbits.net

Paso 3: haga ping al controlador de dominio AD.

Haga ping al controlador de dominio AD que se especificó en el paso 2 y asegúrese de obtener una respuesta de ping.

Paso 4: apunte el servidor DNS al controlador de dominio AD.

En mi caso, el servidor DNS debe apuntar al controlador de dominio AD porque mi DC también es el servidor DNS para mi dominio, sbits.net.

Paso 5: Configure el servidor NTP, si es necesario.

Si el DC principal que planea usar como servidor NTP no tiene el servidor NTP configurado, siga los pasos en la captura de pantalla para configurar y habilitar el servidor NTP en el DC principal.

Paso 6: Instale chrony y configúrelo para usar un DC.

El host de Linux necesita sincronizar la hora con uno de los controladores de dominio en el dominio AD. En mi caso, solo hay un controlador de dominio, por lo que el host Linux estará sincronizando la hora con él.

Si chrony aún no está instalado, instálelo y configúrelo para usar el DC para sincronizar la hora. (Si ya está instalado, recibirá un mensaje informándolo).

[root@newhostname~]# vi /etc/resolv.conf

[root@newhostname~]# systemctl restart NetworkManager

[root@sblinmssql2019~]# vi /etc/chrony.conf

  [root@sblinmssql2019~]# systemctl enable chronyd

  [root@sblinmssql2019~]# systemctl restart chronyd

  [root@sblinmssql2019~]# systemctl enable chronyd 

Si chrony ya está instalado, debemos editar el archivo de configuración chrony.conf, configurar el servidor de hora en el controlador de dominio AD y reiniciar el servicio chronyd. Si el servicio no estaba preinstalado, habilítelo para que se inicie al reiniciar y asegúrese de que el firewall esté configurado para permitir el tráfico NTP después de la instalación.

Una vez que chronyd esté configurado y habilitado, el comando timedatectl mostrará si el servicio NTP está activo. Después de confirmar que el servicio NTP está activo, ejecute el comando chronyc sources para confirmar que está utilizando los controladores de dominio como servidor de hora, como se muestra a continuación.

Paso 7: instale la suite Samba en Linux.

A continuación, instale la suite Samba, incluido winbind, en el host Linux. El servicio winbind permite que el host de Linux interactúe con el dominio AD como un host de Windows. Una vez completada la instalación, confirme que los paquetes que se muestran en la captura de pantalla siguiente estén instalados.

Paso 8: Modifique el archivo /etc/samba/smb.conf para reflejar el valor del dominio.

A continuación, modifique el archivo /etc/samba/smb.conf para reflejar el valor del dominio al nombre de dominio completo y cambie el valor del grupo de trabajo al nombre del dominio, como se muestra en la siguiente captura de pantalla. .

[root@sblinmssql2019~]# yum -y install samba samba-client

[root@sblinmssql2019~]# yum -y install samba-winbind samba-winbind-clients

Paso 9: habilite el demonio winbind al reiniciar el sistema.

Habilite el demonio winbind al reiniciar el sistema usando el comando systemctl como se muestra en la siguiente captura de pantalla. Tenga en cuenta que no hay ningún motivo para reiniciar el host Linux, a diferencia de los hosts Windows.

Nota: El parámetro reino es el nombre de su dominio. En este ejemplo, es "sbits.net" y el parámetro workgroup está establecido en "sbits". En cambio, el parámetro del grupo de trabajo se puede establecer en el valor predeterminado de Windows de “GRUPO DE TRABAJO” si lo prefiere. security=ADS designa que este host es parte del dominio AD. El winbind separator =+ especifica que el signo más (+) se utilizará para separar el nombre de dominio y el nombre de usuario. El separador tradicional de Windows no es compatible con Linux y se debe utilizar un carácter de escape cada vez que se especifica un nombre de usuario con el prefijo de dominio.

Paso 10: Instale el paquete de reinos Kerberos.

Instale el paquete de reinos Kerberos usando el comando yum:

[root@sblinmssql2019~]# yum -y install krb5-workstation

Paso 11: agregue el host Linux al dominio AD.

Ahora, agregue el host Linux al dominio AD usando el siguiente comando. Es muy probable que reciba el error "Falló la actualización de DNS: NT_STATUS_INVALID_PARAMETER".

En mi caso, aunque recibí el error, el host Linux se agregó al dominio AD. Volví a emitir el comando con el indicador -no-dns-updates y el error no apareció.

Paso 12: cambie la configuración de seguridad usando el Administrador de DNS.

Si no desea encontrar el error y desea que DNS actualice la información sobre los nuevos hosts de Linux, cambie la configuración de seguridad usando el Administrador de DNS como se muestra a continuación.

Paso 13: Verifique que se haya agregado el objeto de computadora Linux.

En el controlador de dominio principal, verifique que el objeto de computadora Linux se haya agregado mediante la herramienta Usuarios y computadoras de Active Directory.

Paso 14: Confirme que el servicio winbind se esté ejecutando.

Confirme que el servicio winbind se esté ejecutando en el host Linux.

Paso 15: Valide que el host Linux sea parte del dominio AD.

Valide que el host de Linux sea realmente parte del dominio AD y pueda comunicarse con el DC mediante el paquete wbinfo para ejecutar llamadas RPC cifradas al DC:

[root@sblinmssql2019~]# wbinfo -t    # verifies if encrypted RPC are supported

[root@sblinmssql2019~]# wbinfo – u  # enumerates AD the list of users

[root@sblinmssql2019~]# wbinfo – g  # enumerates AD the list of groups

Paso 16: Asegúrese de que winbind esté seleccionado como proveedor de autorización.

A continuación, debemos asegurarnos de que winbind esté seleccionado como proveedor de autorización mediante el comando authselect select winbind -force como se muestra a continuación. El indicador -force sobrescribirá las entradas en el archivo /etc/nsswitch. archivo de configuración.

Paso 17: Asegúrese de que las entradas de contraseña y grupo estén enumeradas para usar winbind.

Para garantizar que Linux utilice winbind para la autenticación de usuario antes de la autenticación local de Linux, asegúrese de que las entradas passwd y group estén enumeradas para usar winbind en el archivo /etc/. nsswitch.confarchivo.

Paso 18: use kinit para obtener un TGT de Kerberos.

Finalmente, use kinit para intentar obtener el boleto de concesión de boletos Kerberos (TGT):

[root@sblinmssql2019~]# wbinfo -t    # kinit skumar@sbits.net

[root@sblinmssql2019~]# wbinfo – u  # klist

Es probable que encuentre el error que se muestra en la captura de pantalla anterior. Si es así, edite el archivo /etc/krb5.conf y cambie la configuración como se muestra a continuación:

Una vez modificado el archivo, no hay motivo para iniciar ningún servicio en el host Linux y la solicitud de ticket debería funcionar bien.

También puede verificarlo en el controlador de dominio AD, como se muestra a continuación:

¡Felicidades! Ha agregado un host Linux a un dominio de Windows AD.

Unirse a dominios AD usando kingdomd

Ahora que sabe cómo integrar Linux con un dominio de Active Directory, pasemos a unirnos al dominio AD. Existe una forma rápida y sencilla de configurar SSSD para unir dominios sin la complicada edición de archivos de configuración: la suite kingdomd. Esta herramienta de línea de comandos se puede utilizar para gestionar la inscripción en dominios de Kerberos, como dominios de Active Directory o dominios IPA. El sistema kingdomd proporciona una forma clara y sencilla de descubrir y unir dominios de identidad para lograr una integración directa del dominio. Tampoco es una gran mejora, ya que kingdomd maneja la configuración de servicios complejos del sistema Linux subyacente, como SSSD o winbind.

Realmd también es una gran herramienta para la gestión de acceso, gestión de eventos, configuración de membresía de dominio, lograr un dominio directo integrado y autenticación SSH de red y usuario. Muchos equipos de ciberseguridad empresarial utilizan realmd para reducir la superficie de ataque controlando quién tiene acceso a qué.

Siga estos pasos para unirse al servidor Active Directory utilizando la herramienta kingdomd Desktop Bus (D-Bus). Estas instrucciones funcionan para todas las distribuciones de Linux, incluidas Fedora y Ubuntu.

1. Para agregar Linux a un dominio de Active Directory, asegúrese de que su host de Linux pueda comunicarse con el DC a través de la red. La resolución adecuada de DNS y nombre de host es esencial para este proceso.
2. A continuación, instale realmd usando el acceso root en su cuenta de computadora y verifique si ya somos miembros de un dominio.

sudo apt install realmd

realm list

Si realmd no se instaló previamente, la salida debería estar vacía, indicando que:

• El host no está unido a AD ni a otros servicios de dominio.
• No tenemos ninguna membresía de dominio.

Si el resultado muestra un dominio que desea abandonar, ejecute lo siguiente como la cuenta de usuario de administrador de dominio utilizada originalmente para unirse al dominio:

sudo domain dejar ejemplo.com -U usuario@ejemplo.com

3. A continuación, querremos descubrir nuestro dominio:

realm discover <domain_controller_hostname_or_ip_address>

El resultado es una lista de paquetes que deben instalarse para unirse al dominio:

example.com

  type: kerberos

  realm-name: EXAMPLE.COM

  domain-name: example.com

  configured: no

  server-software: active-directory

  client-software: sssd

  required-package: sssd-tools

  required-package: sssd

  required-package: libnss-sss

  required-package: libpam-sss

  required-package: adcli

  required-package: samba-common-bin

El resultado del descubrimiento de dominio puede diferir según la configuración específica de su host y controlador de dominio.

Tenga en cuenta que kingdomd utiliza SSSD como software cliente de Active Directory predeterminado. SSSD permite que los servicios locales verifiquen los cachés de credenciales y usuarios locales en SSSD, pero esos cachés pueden tomarse de cualquier proveedor de identidad remoto, incluido AD, un directorio LDAP, un dominio de administración de identidad o un dominio Kerberos.

Si no desea utilizar SSSD, puede especificar winbind para utilizar Samba Winbind.

4. Confirme que el servidor de Windows y Linux estén en la misma red. Si no es así, sus hosts Linux no podrán unirse a Active Directory. Recomendamos encarecidamente tener una dirección IP estática para el controlador de dominio.

5. Una vez que se haya confirmado todo, continúe e instale los paquetes requeridos enumerados (que se muestran arriba) y luego use el comando realm join. Esto hará varias cosas, incluida la configuración de la máquina local para usarla con un dominio específico y la creación de un archivo de tabla de claves del host en /etc/krb5.keytab. También unirá Linux al dominio de Windows utilizando credenciales con permisos de administrador de dominio AD:

sudo apt install sssd sssd-tools libnss-sss libpam-sss adcli samba-common-bin

sudo realm join --client-software=sssd <domain_controller_hostname_or_ip> -U <domain_admin>

Al especificar el administrador de dominio, podemos usar el nombre de usuario en lugar de usar el formato example.comuser, ya que ya estamos especificando un controlador de dominio en el comando.

Además, podemos usar el parámetro -computer-ou para especificar la unidad organizativa a la que se unirá la computadora, usando el formato de nombre distinguido (por ejemplo, # kingdom join -computer-ou= ”ou=Equipos Linux,dc=ejemplo,dc=com”). Especificar -computer-ou también es excelente para crear cuentas de computadora de directorio en ubicaciones no predeterminadas.

Tenga en cuenta que puede producirse un error de nombre de host no válido si un nombre de host no está configurado con el formato adecuado. Para resolver esto, simplemente configure el nombre de host correctamente:

sudo hostnamectl set-hostname '<new_hostname>'

6. Después de unirnos al dominio, podemos ejecutar realm list nuevamente para confirmar el éxito y revisar la información del dominio:

example.com

  type: kerberos

  realm-name: EXAMPLE.COM

  domain-name: example.com

  configured: kerberos-member

  server-software: active-directory

  client-software: sssd

  required-package: sssd-tools

  required-package: sssd

  required-package: libnss-sss

  required-package: libpam-sss

  required-package: adcli

  required-package: samba-common-bin

  login-formats: %U@example.com

  login-policy: allow-realm-logins

En este caso, la propiedad login-formats indica que las cuentas de dominio se especificarán en formato usuario@example.com en este host, en lugar de usuariodominio . formato.

7. Finalmente, reinicie el servicio SSSD y use el siguiente comando para verificar la información del usuario de Active Directory. El resultado debería mostrar el UID, los grupos y más de un usuario de dominio:

sudo service sssd restart

id user@example.com

¡Eso es todo al respecto! Esta no es de ninguna manera una guía completa de todas las opciones que puede realizar y configurar manualmente a lo largo del camino; sin embargo, esta es la ruta más rápida para unir hosts Linux a Active Directory mediante un enfoque moderno.

Pasos opcionales

Una vez que se haya unido a AD usando kingdomd, puede tomar medidas opcionales para personalizar su experiencia, como modificar el comportamiento de kingdomd y administrar las propiedades de los objetos de AD mediante el uso de varias opciones y herramientas. Éstas incluyen:

Versión del sistema operativo

Las configuraciones os-version y os-name le permiten especificar la versión y el nombre de su sistema operativo. Específicamente, puede usarlos para controlar los valores que se colocan en los atributos operatingSystemVersion y operatingSystem de la cuenta de la computadora.

Editor de atributos de AD

Esta es una herramienta gráfica incorporada para administrar las propiedades de los objetos AD, como computadoras, usuarios y grupos. Puede usarlo instalando el complemento dsa.msc, que forma parte de las herramientas de administración remota del servidor (RSAT) de Windows.

Denegar y permitir

El comando realm deny niega el inicio de sesión local a cuentas reales. Puede utilizar permiso de dominio para restringir los inicios de sesión a determinadas cuentas.

Cambiar la configuración de usuario predeterminada

El sistema realmd le permite modificar el directorio de inicio del usuario predeterminado y los atributos POSIX del shell. Puede anular el directorio y los atributos predeterminados especificando las siguientes opciones en la sección [usuarios] del archivo /etc/realmd.conf:

• Default-shell: Esto define el shell de usuario predeterminado; acepta cualquier shell de sistema compatible.
• Inicio predeterminado: esto establece una plantilla para crear un directorio de inicio para cuentas sin un directorio de inicio establecido explícitamente.

Asignación de UID/GID de Linux a SID en Active Directory

Ahora sabes cómo integrar Linux con Active Directory. Sin embargo, aún no hemos terminado. También debemos abordar cómo se asignan los UID y GID POSIX a los SID en Active Directory, ya que los clientes de Linux no tienen un concepto de SID como el de Windows.

Beneficios de usar SSSD en lugar de Winbind

Como se mencionó anteriormente, kingdomd usa SSSD en lugar de winbind de forma predeterminada. Un gran beneficio de este enfoque es que SSSD maneja automáticamente la generación de UID/GID POSIX utilizando el SID de cada usuario o grupo de Active Directory. Si mantiene la configuración SSSD predeterminada en cada host Linux que une al dominio, estos valores UID y GID deben asignarse de manera consistente en todos los hosts Linux.

Por ejemplo, en mi laboratorio, este resultado es consistente sin importar en qué máquina Linux lo ejecute, siempre y cuando las máquinas estén unidas al mismo dominio:

user@my-linux-host:~$ id user@example.com

uid=778006423(user@example.com) gid=778001234(domain users@example.com) groups=778001234 (domain users@example.com)

Otro beneficio de este enfoque es que los UID y GID generados por SSSD también se pueden aplicar a los atributos uidNumber y gidNumber en Active Directory para usuarios y grupos. Esto permite que las aplicaciones que consultan estos atributos de AD realicen el mapeo del UID o GID al SID, lo que en última instancia da como resultado que se haga referencia a los mismos usuarios o grupos de AD, independientemente de si un usuario o grupo está en uso en un sistema Windows o Linux.

Visualización y edición de los atributos uidNumber y gidNumber

Para ver los atributos uidNumber y gidNumber en Usuarios y computadoras de Active Directory en Windows Server, asegúrese de tener habilitadas las Funciones avanzadas en el menú desplegable Ver:

Luego podrá ver y editar esos campos en el menú Propiedades del usuario o grupo en la pestaña Editor de atributos:

Listado de todos los usuarios y grupos de AD con sus UID y GID

Dependiendo de la cantidad de usuarios y grupos en su dominio, puede llevar mucho tiempo asignar manualmente los valores uidNumber y gidNumber. Aunque los métodos para completar estos campos mediante programación serán específicos del entorno, al menos podemos enumerar todos los usuarios y grupos de AD, con sus UID y GID, utilizando el comando getent desde un host Linux unido al dominio.

De forma predeterminada, getent enumerará solo los usuarios y grupos en la máquina local. Afortunadamente, esto se puede modificar agregando una línea a su archivo /etc/sssd/sssd.conf y reiniciando SSSD. Sin embargo, habilitar esta opción de enumeración puede causar una tensión significativa en el servidor de Active Directory.

Normalmente, me gusta realizar este proceso fuera del horario de producción, guardar los resultados y luego desactivar la enumeración completa. Así es como lo hago:

1. Primero, agregamos enumerate=True a sssd.conf y luego reiniciamos el servicio SSSD:

echo "enumerate = True" | sudo tee -a /etc/sssd/sssd.conf &> /dev/null

sudo service sssd restart

Dependiendo del tamaño de su Active Directory, puede tomar hasta 10 minutos completar la enumeración inicial en el caché local. Durante este período, observará que los usuarios y grupos del dominio aparecen en los resultados de getent passwd y getent group, respectivamente.

2. Una vez que se completa la enumeración en la caché de credenciales local, podemos usar los siguientes comandos para formatear la salida getent ( debe reemplazarse con su nombre de dominio):

getent passwd | awk -F: '{print $1 "," $3 "," $4}' | grep <domain>

getent group | awk -F: '{print $1 "," $3}' | grep <domain>

El primer comando genera cada usuario de dominio con su UID y su GID en formato separado por comas:

user@example.com,778006423,778001234

El segundo genera cada grupo de dominio con su GID en formato separado por comas:

domain users@example.com,778001234

3. Puede redirigir la salida a archivos de texto o CSV para analizarlos en los atributos uidNumber y gidNumber de Active Directory. Con la información UID y GID en formato CSV, puede crear un script que importe cada CSV y actualice automáticamente uidNumber y gidNumber para usuarios y grupos de Active Directory. Por ejemplo, el siguiente comando de Windows PowerShell agrega el UID y el GID especificados a esos atributos en AD:

Set-ADUser <ad_user> -Replace @{uidNumber="<uid>"; gidNumber="<gid>"}

Con este comando (y Set-ADGroup), puede generar fácilmente una secuencia de comandos que se adapte a su entorno y acelere el proceso de asignación de UID/GID a uidNumber y gidNumber en AD, que en última instancia se asignan a los SID de Windows.

4. Una vez que haya guardado el resultado de los comandos getent, puede eliminar el valor de enumeración de sssd.conf y reiniciar el servicio SSSD para evitar que se produzca la costosa enumeración LDAP en el futuro:

sudo sed -i '/enumerate = True/d' /etc/sssd/sssd.conf

sudo service sssd restart

Conclusión

Los hosts de Linux se utilizan a menudo para funciones críticas, por lo que los administradores deben monitorear estos hosts, comprender cómo se usan, observar quién accede a ellos y verificar cómo están protegidos.

Los administradores deben tener especial cuidado al unir hosts Linux a Active Directory. Recuerde, solo se necesita un host o usuario comprometido para que los atacantes accedan lateralmente a derechos de administrador en su dominio, explotando problemas como acceso de usuario sobreaprovisionado, contraseñas débiles y recursos compartidos SMB/NFS abiertos.

Una de las mejores formas de reducir los riesgos de ciberseguridad es utilizar la solución de seguridad Netwrix Active Directory. Completo y fácil de usar, este software hace que la integración de Linux con Active Directory sea sencilla y sin estrés. Incluye:

• Trabajos de auditoría, registro, análisis e informes preconfigurados y personalizables tanto en Unix/Linux como en Active Directory
• Herramientas para proteger otras partes de su infraestructura, incluidos Google Cloud, dispositivos de red, sistemas virtualizados y contenedores de Kubernetes.

¿Interesado en experimentar la diferencia de Netwrix? Solicite una prueba gratuita hoy.

Preguntas más frecuentes

¿Se puede unir una máquina Linux a Active Directory?

Sí. Puede unir cualquier distribución a un dominio AD conectando manualmente el cliente SSSD o usando el comando realm join.

¿Cómo se conecta Linux a Active Directory?

System Security Services Daemon (SSSD) proporciona un conjunto de demonios para administrar el acceso a servicios de directorio remotos y mecanismos de autenticación en máquinas Linux.

¿Qué es kingdomd en Linux?

realmd es un servicio del sistema Linux que permite a las personas que llaman configurar la autenticación de red y la membresía del dominio a través de servicios SSSD o winbind.

¿Qué es el comando sudo systemctl?

El comando sudo systemctl es la principal herramienta de gestión para controlar el sistema de inicio. Puede usar el comando start después para iniciar un servicio systemd.

¿Qué es el comando sudo apt-get update?

El comando sudo apt-get update sirve para descargar información del paquete de todas las fuentes configuradas.

¿Qué es sudoers?

Los administradores de Linux y Unix pueden utilizar el archivo sudoers para asignar derechos del sistema a los usuarios del sistema. En otras palabras, permite a los administradores controlar quién hace qué. Puede encontrar este archivo en /etc/sudoers.