概要

下記のように sudo コマンドが使えなくなり、root権限が得られなくなった場合の復旧方法を記す.
ただし、Ubuntu Desktop をインストールした環境限定である.
より厳密には pkexec と pkttyagent の両コマンドが使える環境限定である.

関連 Qiita 記事
・sudoコマンドがいきなり使えなくなった！
・Chefでsudoersをいじったらsudoできなくなったの巻
・AnsibleのCopyモジュールでsudoers.d配下にファイル追加をしたらroot権限がお亡くなりになった

詳細

ここでは /etc/sudoers.d/jenkins を編集ミスしたことによって、sudo が一切使えなくなった場合と仮定する.

つまり、次の状況からの復旧方法である.
・/etc/sudoers.d/jenkins を削除したいが、sudo ができなくなり困り果てる

$ sudo rm -f /etc/sudoers.d/jenkins
>>> /etc/sudoers.d/jenkins: 構文エラー near line 2 <<<
>>> sudo: @ ｏlU 内 2 行付近で構文解析エラーが発生しました
>>> sudo: 有効な sudoers のソースが見つかりません。終了します
>>> sudo: ポリシープラグインを初期化できません

検証環境

Ubuntu 16.04

恐らく Ubuntu 18.04 や 20.04 でも問題無い.

手順

1. 端末(コンソール)を2個起動させる

該当PC にログインした状態の端末 (gnome-terminal や TeraTerm などのコンソール) を 2個起動させる.
起動させた2個の端末を便宜上「端末A」「端末B」とする.

2. 「端末A」のプロセス番号を確認する

「端末A」で次のように実行するとプロセス番号が判明する.
ここでは「12345」であった. この番号を控えておく.

$ echo $$
12345

2. 「端末B」から pkttyagent を使って「端末A」に接続する

端末A のプロセス番号「12345」を指定して pkttyagent というコマンドを実行する

なお、この時点で pkttyagent が存在しないようであれば、残念ながら本ページの手順では復旧できない💀...スマヌ

$ pkttyagent -proccess 12345

3. 「端末A」で「pkexec rm -f /etc/sudoers.d/jenkins」を実行する

$ pkexec rm -f /etc/sudoers.d/jenkins

すると「端末B」に次のような表示がされるので、「jenkins」アカウントのパスワードを入力する

==== AUTHENTICATING FOR org.freedesktop.policykit.exec ===
`/bin/rm'を管理者として実行するためには認証が必要です
Authenticating as: foo,,, (foo)
Password:

その結果、「端末A」での「pkexec rm -f /etc/sudoers.d/jenkins」に成功する.

4. 文法ミスが無い「/etc/sudoers.d/jenkins」を作成する

「端末A」で以下を実行すれば復旧完了となる.

$ cat <<EOL | sudo tee /etc/sudoers.d/jenkins
Defaults:jenkins !requiretty
jenkins ALL=(ALL:ALL) ALL
EOL

以上.

面倒でも /etc/sudoers や /etc/sudoers.d/* を編集する場合は visudo を使うべし. (自戒)

あとがき

事前に policykit-1 をインストールしておく

最悪の場合に pkexec や pkttyagent が使えるように、次を実行して先の 2つのコマンドを導入しておきましょう. (未検証ですが)

$ sudo apt-get install -y policykit-1

参考記事