Neuer ioBroker-Blog online: Monatsrückblick März/April 2026

[mcm1957]

Hier der Inhalt von /etc(/sudoers.d/010_pi-nopasswd

xx ALL=(ALL) NOPASSWD: ALL

xx ist dabie der Hauoptuser. Da wird also das generelle NOPASSWD gesetzt.

[Thomas Braun]

@mcm1957 sagte:

Das wird bei Befehlen die der js-controller ev absetzt schwierig ...

Das ist aber ja grundsätzlich nichts neues für alles was nicht RaspberryOS ist.
VMs, LXCs usw waren noch nie komplett ohne Passwort für sudo.
Ich wüsste nicht, warum es dann zu wirklichen Problemen kommen sollte, wenn RaspberryOS jetzt das übliche Verhalten einführt.

Ich logg mich doch nicht mit ssh keys ein um dann erst zig mal ein sicheres langes Passwort zu tipseln

Dafür gibt es ja die 'grace time'. Stell dir die auf mehrere Stunden, dann haste solange Ruh'.
Oder du stellst es wieder auf passwordless.

[mcm1957]

OK, alles klar - hab grad mal selbst geschecked:
ioBroker konfiguriert sich die von ihm benötigten Rechte bereits jetzt passend. Deswegen gibts offensichtlich auch auf anderen Linuxen kein Problem.
Damit sollte es keinen Einfluss auf ioBroker auf Raspi geben. Nur bei interactiver Arbeit kann da gelegentlich ein Passortprompt kommen. Das wäre dann voll akzeptabel.

[Thomas Braun]

@mcm1957 sagte:

ioBroker konfiguriert sich die von ihm benötigten Rechte bereits jetzt passend.

Ja, für den user iobroker gibt es eine passend konfigurierte sudoers.
Deswegen gehört der ja auch z. B. nicht in die Gruppe 'sudo' rein.

Beim Aufruf von 'iob diag' wird dann aber mindestens einmal nach dem Passwort gefragt werden.
Ich hatte auch schon überlegt ganz zu anfang eine solche Abfrage zu provozieren, damit dann im weiteren Ablauf (bei gesetzter grace time) keine Unterbrechung erfolgt.

[Thomas Braun]

Ich könnte es also hier umstellen, wenn ich wollte.

[mcm1957]

Jep
Wahrscheinlich ist es aber sicherer nur jene suso Befehle die man häufiger braucht (z.B. shutdown) explizit mit NOPASSW einzutragen - sofern das nicht eh der Default ist. Bei seltenen Befehlen wird man mit Pwd leben können.

[OliverIO]

@mcm1957

der user iobroker darf das alles schon ohne passwort

inhalt der datei
/etc/sudoers.d/iobroker

iobroker ALL=(ALL) ALL
iobroker ALL=(ALL) NOPASSWD: /usr/sbin/shutdown
iobroker ALL=(ALL) NOPASSWD: /usr/sbin/halt
iobroker ALL=(ALL) NOPASSWD: /usr/sbin/poweroff
iobroker ALL=(ALL) NOPASSWD: /usr/sbin/reboot
iobroker ALL=(ALL) NOPASSWD: /usr/bin/systemctl start
iobroker ALL=(ALL) NOPASSWD: /usr/bin/systemctl stop
iobroker ALL=(ALL) NOPASSWD: /usr/bin/mount
iobroker ALL=(ALL) NOPASSWD: /usr/bin/umount
iobroker ALL=(ALL) NOPASSWD: /usr/bin/systemd-run
iobroker ALL=(ALL) NOPASSWD: /usr/bin/apt-get
iobroker ALL=(ALL) NOPASSWD: /usr/bin/apt
iobroker ALL=(ALL) NOPASSWD: /usr/bin/dpkg
iobroker ALL=(ALL) NOPASSWD: /usr/bin/make
iobroker ALL=(ALL) NOPASSWD: /usr/bin/ping
iobroker ALL=(ALL) NOPASSWD: /usr/sbin/setcap
iobroker ALL=(ALL) NOPASSWD: /usr/bin/cat
iobroker ALL=(ALL) NOPASSWD: /usr/bin/df
iobroker ALL=(ALL) NOPASSWD: /usr/sbin/ldconfig
ALL ALL=NOPASSWD: /usr/bin/systemctl start iobroker
ALL ALL=NOPASSWD: /usr/bin/systemctl stop iobroker
ALL ALL=NOPASSWD: /usr/bin/systemctl restart iobroker
ALL ALL=(iobroker) NOPASSWD: /usr/bin/node /opt/iobroker/node_modules/iobroker.js-controller/iobroker.js *

zumindest in einer docker instanz
ich weiß leider nicht von woher die datei ursprünglich kommt.
auf gihub hab ich so direkt nichts gefunden

ich glaub der installer erzeugt die
https://github.com/ioBroker/ioBroker/blob/9d96d9ca07e86c680be7bc183fe931a4f29cb9a2/installer_library.sh#L644

[Thomas Braun]

@OliverIO

Das wird in der installer_library.sh so angelegt.

[mcm1957]

@OliverIO
Ja ich weiß
Hatte ich weiter oben schon gepostet.

[Thomas Braun]

Hier noch bei heise:

https://www.heise.de/news/Raspberry-Pi-OS-6-2-Update-verspricht-mehr-Sicherheit-11258279.html