CentOS7、suコマンドでrootにログインできない、パスワードは絶対あっているのになぜ？

Question

WindowsのPCでVirtualBox上でCentOS7を使っています。

su
su root
などのコマンドでrootユーザーに切り替えができません。

以下2つのユーザーがいます。
root
taro

taroでログイン中にsuコマンドを使うと、
パスワード入力を求めら、rootのパスワードを入れると
su: Authentication failure
と表示されます。
以前はこの手順でrootに切り替わっていました。

exitコマンドで、taroを一旦ログアウト、
VirtualBoxのターミナル上に
localhost login:
というプロンプトが出てきて
root
と入力しエンター、
Password:
というプロンプトが出てきて
rootのパスワードを入力しエンター。

これでログインできるので
rootのパスワードが間違っている訳ではないです。

確認のために
useradd jiro
passwd jiro
コマンドで新しくjiroというユーザーを作成。

rootでログイン中
su taro
su jiro
どちらも成功。
パスワード入力を求められず、ユーザーが切り替わる。

taroでログイン中
su root
su jiro
どちらも失敗。
パスワード入力を求められ、正しいパスワードを入力したはずなのに
su: Authentication failure

jiroでログイン中
su root
su taro
どちらも失敗。
パスワード入力を求められ、正しいパスワードを入力したはずなのに
su: Authentication failure

rootユーザーに切り替わらないというよりは、suコマンドのパスワード照合処理がうまいくっていないという印象？

suコマンドが使えなくなる現象について、何かご存知でしたらアドバイスをお願いします。

Answer 1

自己解決。

chmod u+s /usr/bin/su

上記コマンドの実行でsuコマンドが復活しました。

suの実行ファイルの権限、
元は4755（rwsr-xr-x）らしいんですが
777（rwxrwxrwx）になっていました。

suコマンドは、所有者の実行権限がxじゃなくてsじゃないといけない。
実行権限がsだと、所有者以外がsuコマンドを実行した時でも、裏では所有者（root）の権限で処理が走っている。

/usr/share/nginx/html
に権限を追加したくて、横着して
chmod 777 -R /usr
とコマンド実行した記憶があります。
お騒がせしました。

Comments

[otn]

あー、そりゃだめですね。

別途、同じOSをインストールして、それの/usr以下を見て、/usr以下のパーミッションを全部合わせましょう。

可能なら、データをバックアップして、ゼロからインストールし直した方が良いです。

[teraha]

VirtualBoxで作った試験環境、特に重要なデータも入っていないのでOSから作り直すことにします。
ご協力ありがとうございました。

[ockeghem]

自己解決の内容を書いてくださってありがとうございます。

Answer 2

わかりませんけど思いつくところで。
・type su の結果
・ls -l /bin/su の結果
・/etc/passwd と /etc/shadow の root の内容 (出せる範囲で)
・/etc/pam.d/su の内容
・strace su の結果
・env - su の結果 (環境変数をクリアしてやってみる)
・全体的に su - のパターンもやってみる
・/var/log/ になにか出ていないか

Comments

[teraha]

アドバイスありがとうございます。
/bin/su
の権限が不足しているのが原因でした。

Answer 3

以前出来ていたというなので、違うかも知れませんが、
設定により、wheelグループに属しているユーザーだけがsuでrootになれます。

/etc/pam.d/suのwheelの行がコメントかどうか。コメントでなくて有効な場合、

id
で、
uid=1000(foo) gid=1000(foo) groups=1000(foo),10(wheel)

のように、wheelが表示されますか？

Comments

[teraha]

taroは以前からwheelグループに追加済。
idコマンドで、groupsに10(wheel)が表示されます。

usermod -aG wheel jiro
上記コマンドでjiroもwheelに追加しました。
状況は変わらず。

cat /etc/pam.d/su | grep wheel
コマンドの実行結果は下記のとおり。

# Uncomment the following line to implicitly trust users in the "wheel" group.
#auth sufficient pam_wheel.so trust use_uid
# Uncomment the following line to require a user to be in the "wheel" group.
#auth required pam_wheel.so use_uid

auth sufficient pam_wheel.so trust use_uid
auth required pam_wheel.so use_uid
の2行をコメントアウト解除すると
suコマンド実行時にパスワード入力は発生せず
su: Authentication service cannot retrieve authentication info
というエラーに変わりました。
（su: Authentication failureというエラーは出ない）

auth sufficient pam_wheel.so trust use_uid
だけコメントアウト解除した場合も同様に、suコマンドで
su: Authentication service cannot retrieve authentication info
というエラー。

auth required pam_wheel.so use_uid
だけコメントアウトした場合は、suコマンドでパスワード入力発生、パスワード入力後
su: Authentication failure
というエラー。

[otn]

1つめのは、「wheelグループの人はパスワード入れなくてもrootになれる」で、
2つめのは、「wheelグループの人だけがrootになれる」なので、機能通りです。

やっぱり原因は別でしたか。

/etc/pam.d/su の内容を編集して様子を調べるのでしょうかね。