<div dir="ltr">Hello,<div>Is there a proper way in sudo rules to allow any command and exclude only some groups?</div><div>Something like:</div><div>%test_group <span style="font-size:10pt;color:black;font-family:Tahoma">ALL=    (ALL)       ALL, !SU, !SHELLS</span></div>

<div><span style="font-size:10pt;color:black;font-family:Tahoma">If I try to do this (gui/cli) I get an error:</span></div><div><font color="black" face="Tahoma"><span style="font-size:10pt" dir="ltr">ipa: ERROR: commands cannot be added when command category=&#39;all&#39;</span></font><br>

</div><div><font color="black" face="Tahoma"><span style="font-size:10pt" dir="ltr"><br></span></font></div><div><font color="#000000" face="Tahoma">Non proper way (bug ?) is to first add deny groups and after that add allow all :)</font></div>

<div><font color="black" face="Tahoma"><span style="font-size:10pt" dir="ltr">It should be fixed in this, but it seems to still work (</span></font><font color="#000000" face="Tahoma">freeipa-server-3.3.4-3)</font></div>
<div>
<font color="black" face="Tahoma"><span style="font-size:10pt" dir="ltr"><a href="https://fedorahosted.org/freeipa/ticket/1440">https://fedorahosted.org/freeipa/ticket/1440</a></span></font><font color="#000000" face="Tahoma"><br>

</font></div><div><font color="#000000" face="Tahoma"><br></font></div><div>Thanks<br clear="all"><div><span style="font-size:x-small">Szymon </span></div><div><font size="1"><br></font><br></div>
</div></div>