Touch ID pour la barre tactile de Mac peut-il authentifier les utilisateurs sudo et les privilèges d'administrateur ?

Pour résumer la solution d'Andy et Glenjamin en une seule pièce :

---
- hosts: localhost
  tasks:
  - name: install pam_reattach pam module
    homebrew:
      name: fabianishere/personal/pam_reattach
      state: present
    register: reattach_result

  - name: detect touch id support
    shell: pgrep ControlStrip
    ignore_errors: true
    register: touch_id_result

  - name: enable touch id for sudo commands
    lineinfile:
      path: /etc/pam.d/sudo
      line: 'auth       sufficient     pam_tid.so'
      insertbefore: '^auth       sufficient     pam_smartcard.so$'
    become: yes
    when: touch_id_result.rc == 0 and touch_id_result.stdout != ''

  - name: enable persistent touch id for tmux and iterm
    lineinfile:
      path: /etc/pam.d/sudo
      line: 'auth       optional       pam_reattach.so'
      insertbefore: '^auth       sufficient     pam_tid.so$'
    become: yes
    when: reattach_result == 0

Cela peut être exécuté avec seulement ansible-playbook sudo-touchid.yml où sudo-touchid.yml c'est le nom que j'ai donné à cette pièce.

La première étape consiste à installer le logiciel de Fabian pam_reattach qui permet à sudo de fonctionner dans iTerm, tmux, etc. Il n'est pas dans les formules par défaut de Homebrew, donc nous le récupérons de son propre dépôt.

La seconde vérifie si ce Mac possède une barre tactile, sinon nous allons abandonner.

Troisièmement, on regarde si on a déjà ajouté pam_tid.so à /etc/pam.d/sudo et seulement s'il y a une barre tactile.

Enfin, nous ajoutons également pam_reattach.so comme un optional méthode d'authentification. Selon l'auteur, il pourrait avoir un bug inconnu, et si nous utilisons required cela pourrait entraîner un lock-out.

J'ai créé les tâches ansible suivantes pour activer touch id pour les commandes sudo si votre ordinateur le supporte :

- name: detect touch id support
  shell: pgrep ControlStrip
  ignore_errors: true
  register: touch_id_result

- name: enable touch id for sudo commands
  lineinfile:
    path: /etc/pam.d/sudo
    line: 'auth       sufficient     pam_tid.so'
    insertbefore: '^auth       sufficient     pam_smartcard.so$'
  become: yes
  when: touch_id_result.rc == 0 and touch_id_result.stdout != ''

Ma réponse à une ficelle :

sudo su root -c 'chmod +w /etc/pam.d/sudo && echo "auth       sufficient     pam_tid.so\n$(cat /etc/pam.d/sudo)" > /etc/pam.d/sudo && chmod -w /etc/pam.d/sudo'

Que fait une commande ?

1. D'abord, j'indique que je veux tout faire de Root (en utilisant sudo, l'astuce ne fonctionnera pas ( plus précisément il le fera, mais plus difficile à mettre en œuvre)
2. Ensuite, je donne les droits d'écriture à /etc/pam.d/sudo
3. Puis j'ajoute la ligne auth sufficient pam_tid.so à le début du fichier. Voir ce poste
4. Ensuite, j'enlève le droits d'écriture accordés /etc/pam.d/sudo , en prenant en en tenant compte Remarques de Matin ZD

P.S. En expérimentant sudo et su cassé dans le terminal, il se répare comme ceci https://support.apple.com/en-us/HT204012 activer la racine

su - root
vim /etc/pam.d/sudo

Rétablir le fichier dans son état d'origine

Cette ligne insérera la ligne d'authentification décrite ci-dessus. ici comme deuxième ligne de la sudo (de sorte qu'il apparaisse en premier après la ligne de commentaire).

sudo sed -i -- '2s/^/auth sufficient pam_tid.so\n/' /etc/pam.d/sudo

Une chose à mentionner est que vous devez d'abord modifier l'autorisation du fichier puis essayer d'effectuer des modifications :

sudo su -
chmod u+w /etc/pam.d/sudo

Ajout de cette ligne à la première ligne :

# sudo: auth account password session
auth       sufficient     pam_tid.so # << Add this here ;)
auth       sufficient     pam_smartcard.so
auth       required       pam_opendirectory.so
account    required       pam_permit.so
password   required       pam_deny.so
session    required       pam_permit.so

Puis rétablissez les autorisations de fichiers lorsque vous avez terminé :

chmod u-w /etc/pam.d/sudo