`
maosheng
  • 浏览: 566045 次
  • 性别: Icon_minigender_1
  • 来自: 北京
社区版块
存档分类
最新评论

Linux sudo 命令

 
阅读更多
sudo 是Linux平台上的一个非常有用的工具,它允许系统管理员分配给普通用户一些合理的“权利”,让他们执行一些只有超级用户或其他 特许用户才能完成的任务,比如:运行一些像mount,halt,su之类的命令,或者编辑一些系统配置文件,像/etc/mtab,/etc /samba/smb.conf等。这样以来,就不仅减少了root用户的登陆次数和管理时间,也提高了系统安全性。

sudo 就是让某个用户能够以另外任意一个用户的身份通过某些主机执行某些任务。记住了,是以另外一个身份来执行命令,而不是切换到另一个用户上去哦!

但是要想让某个用户能够使用sudo来执行命令的话,必须要在sudo的配置文件定义才可以,只有在/etc/sudoers中定义过的用户才可以执行相应的命令,这些命令也必须要在sudo的配置文件/etc/sudoers中定义才可以,默认情况下,只有root用户才可以使用sudo执行命令。
  
一. sudo的特点

  sudo扮演的角色注定了它要在安全方面格外谨慎,否则就会导致非法用户攫取root权限。同时,它还要兼顾易用性,让系统管理员能够更有效,更方便地使用它。sudo设计者的宗旨是:给用户尽可能少的权限但仍允许完成他们的工作。所以,sudo有以下特点:

  # 1. sudo能够限制指定用户在指定主机上运行某些命令。
   # 2. sudo可以提供日志,忠实地记录每个用户使用sudo做了些什么,并且能将日志传到中心主机或者日志服务器。
   # 3. sudo为系统管理员提供配置文件,允许系统管理员集中地管理用户的使用权限和使用的主机。它默认的存放位置是/etc/sudoers。
   # 4.sudo使用时间戳文件来完成类似“检票”的系统。当用户执行sudo并且输入密码后,用户获得了一张默认存活期为5分钟的“入场券”(默认值可以在编译的时候改变)。超时以后,用户必须重新输入密码。

二. sudo命令

  sudo程序本身就是一个设置了SUID位的二进制文件。我们可以检查一下它的权限:

    $ls -l /usr/bin/sudo
    ---s--x--x 2 root root 106832 02-12 17:41 /usr/bin/sudo

  它的所有者是root,所以每个用户都可以像root那样执行该程序。设置了SUID的程序在运行时可以给使用者以所有者的EUID。这也是为 什么设置了SUID的程序必须小心编写。但是设置一个命令文件的SUID和用sudo来运行它是不同的概念,它们起着不同的作用。

  sudo的配置都记录在/etc/sudoers文件中,我们下面将会详细说明。配置文件指明哪些用户可以执行哪些命令。要使用sudo,用户 必须提供一个指定用户名和密码。注意:sudo需要的不是目标用户的密码,而是执行sudo的用户的密码。如果不在sudoers中的用户通过sudo执 行命令,sudo会向管理员报告这一事件。用户可以通过sudo -v来查看自己是否是在sudoers 之中。如果是,它还可以更新你的“入场券”上的时间;如果不是,它会提示你,但不会通知管理员。

  sudo命令格式如下: 

   sudo -K -L -V -h -k -l -vsudo [-HPSb] [-a auth_type] [-c class-] [-p prompt] [-u username#uid] {-e file [...] -i -s command}

  下面我们再来看一下sudo其它常用的一些参数:




三. 配置sudo

    只有在/etc/sudoers中定义过的用户可以使用sudo命令,所以,要想让某些用户也能够使用sudo来执行某些命令,只需在/etc/sudoers中增加相应的sudo条目即可。

  配置sudo必须通过编辑/etc/sudoers文件,而且只有超级用户才可以修改它,还必须使用visudo编辑。
    之所以使用visudo有两个原因,一是它能够防止两个用户同时修改它;二是它也能进行有限的语法检查。所以,即使只有你一个超级用户,你也最好用visudo来检查一下语法。

    一般情况下,我们要想编辑某个配置文件,直接使用vim命令即可,但是由于使用vim编辑的配置文件无法检查增减条目的语法,因此我们一般不建议使用vim直接编辑。而是使用visudo命令来编辑/etc/sudoers文件。该命令默认情况下就是用来编辑/etc/sudoers文件的,该命令可以检查这个文件的语法错误,因此,如果要想修改/etc/sudors文件时,使用visudo来编辑更好,这样就不会出现什么问题了。

    visudo -f filename:也可以用来编辑其他配置文件的,只要加上-f和指定文件即可。

  visudo不会擅自保存带有语法错误的配置文件,它会提示你出现的问题,并询问该如何处理,就像:  

>>> sudoers file: syntax error, line 22 <<

  此时我们有三种选择:键入“e”是重新编辑,键入“x”是不保存退出,键入“Q”是退出并保存。如果真选择Q,那么sudo将不会再运行,直到错误被纠正。

  现在,我们一起来看一下配置文件。

    sudo条目格式
    who        which_host=(runas)        command
    who:表示使用者账号。
    which_host:表示登入者来源主机。ALL表示所有主机。
    runas:表示以哪一个用户身份来执行,默认情况下,不加用户,表示以root身份来执行。
    command:规范这个用户可以使用sudo执行哪些命令(这些命令要使用绝对路径)。ALL表示所有命令。


    让我们从一个简单的例子开始:
    让用户Foobar可以通过sudo执行所有root可执行的命令。
    以root身份用visudo打开配置文件,可以看到类似下面几行:

# Runas alias specification
# User privilege specification
  root    ALL=(ALL)ALL

  我们一看就明白个差不多了,root有所有权限,只要仿照现有root的例子就行,我们在下面加一行(最好用tab作为空白):  

foobar ALL=(ALL)    ALL

  保存退出后,切换到foobar用户,我们用它的身份执行命令:

[foobar@localhost ~]$ ls /root
ls: /root: 权限不够
[foobar@localhost ~]$ sudo ls /root
PassWord:
anaconda-ks.cfg Desktop install.log install.log.syslog

  好了,我们限制一下foobar的权利,不让他为所欲为。比如我们只想让他像root那样使用ls和ifconfig,把那一行改为:

foobar localhost=/sbin/ifconfig,/bin/ls

  再来执行命令:

  [foobar@localhost ~]$ sudo head -5 /etc/shadow
Password:

  Sorry, user foobar is not allowed to execute '/usr/bin/head -5 /etc/shadow' as root on localhost.localdomain.
[foobar@localhost ~]$ sudo /sbin/ifconfigeth0      Linkencap:Ethernet HWaddr 00:14:85:EC:E9:9B...

  现在让我们来看一下那三个ALL到底是什么意思。第一个ALL是指网络中的主机,我们后面把它改成了主机名,它指明foobar可以在此主机上执行后面的命令。第二个括号里的ALL是指目标用户,也就是以谁的身份去执行命令。最后一个ALL当然就是指命令名了。例如,我们想让foobar用户在linux主机上以jimmy或rene的身份执行kill命令,这样编写配置文件:

foobar    linux=(jimmy,rene)/bin/kill

  但这还有个问题,foobar到底以jimmy还是rene的身份执行?这时我们应该想到了sudo -u了,它正是用在这种时候。 foobar可以使用sudo -u jimmy kill PID或者sudo -u rene kill PID,但这样挺麻烦,其实我们可以不必每次加-u,把rene或jimmy设为默认的目标用户即可。再在上面加一行:

Defaults:foobar   runas_default=rene

  Defaults后面如果有冒号,是对后面用户的默认,如果没有,则是对所有用户的默认。就像配置文件中自带的一行:

Defaults    env_reset

    在上述过程中,每次执行命令时都要输入密码,这是因为如果某个用户有事离开了但是却没有退出当前用户,这时任何一个用户就可以在此主机上执行任何命令,修改root密码,或者删除有关信息等等,这对于系统来说是极不安全的。因此在每次执行命令前,都需要输入当前用户自身的密码,该密码有效期为5分钟(5分钟内执行任何命令不需要输入密码),5分钟过后就要重新输入了。

  另一个问题是,很多时候,我们本来就登录了,每次使用sudo还要输入密码就显得烦琐了。我们可不可以不再输入密码呢?当然可以,我们这样修改配置文件:

foobar localhost=NOPASSWD:  /bin/cat, /bin/ls

  再来sudo一下:


[foobar@localhost ~]$ sudo ls /rootanaconda-ks.cfg Desktop install.log

install.log.syslog


  当然,你也可以说“某些命令用户foobar不可以运行”,通过使用!操作符,但这不是一个好主意。因为,用!操作符来从ALL中“剔出”一些命令一般是没什么效果的,一个用户完全可以把那个命令拷贝到别的地方,换一个名字后再来运行。

    为sudo条目定义命令别名

    有时候如果某些用户需要执行相同的命令,如果一个一个的为他们添加sudo条目时,会比较麻烦。这时我们可以为某些用户或者某些命令创建别名,以别名的方式为他们添加sudo条目,这样就方便多了。

    在定义别名时必须别名名称只能是大写英文字母

    可以为sudo条目中的每一个字段定义一个别名。

    定义用户别名:
    格式:User_Alias   aliasname=
          aliasname可以是用户名、组名(使用%引导)、还可以包含其他的用户别名(嵌套)

    定义主机别名
    格式:Host_Alias    aliasname=
          aliasname可以是主机名、ip-addr、网络地址、其他主机别名(嵌套)

    定义执行身份别名
    格式:Runas_Alias  aliasname=
          aliasname可以是用户名、组名(前面加上%)、其他Runas别名(嵌套)

    执行命令别名
    格式:Cmnd_Alias  aliasname=
          aliasname可以是命令路径(绝对路径)、目录(此目录内的所有命令)、其他事先定义过的别名
       

   有3个用户,hadoop、xsl、test都可以执行useradd、passwd命令,该如何操作?
   可以在/etc/sudoer中添加如下条目即可:
   User_Alias USERALIAS=hadoop,xsl,test
   Cmnd_Alias CMDALIAS=/usr/sbin/useradd,!/usr/bin/passwd root,/usr/bin/passwd [A-Za-z]*
   USERALIAS   ALL=(root)  CMDALIAS






  
  • 大小: 24.4 KB
分享到:
评论

相关推荐

    Linux sudo命令用法详解

    Linux sudo命令 Linux sudo命令以系统管理者的身份执行指令,也就是说,经由 sudo 所执行的指令就好像是 root 亲自执行。 使用权限:在 /etc/sudoers 中有出现的使用者。 语法sudo -V sudo -h sudo -l sudo -v sudo ...

    Linux sudo命令的概念与使用

     sudo是linux下常用的允许普通用户使用超级用户权限的工具,允许系统管理员让普通用户执行一些或者全部的root命令,如halt,reboot,su等等。这样不仅减少了root用户的登陆和管理时间,同样也提高了安全性。Sudo...

    linux sudo命令详解

    严谨些说,sudo 允许一个已授权用户以超级用户或者其它用户的角色运行一个命令。当然,能做什么不能做什么都是通过安全策略来指定的。sudo 支持插件架构的安全策略,并能把输入输出写入日志。第三方可以开发并发布...

    Linux系统Sudo命令的使用说明

    Linux系统中的Sudo命令是Unix/Linux环境中不可或缺的工具,它为系统管理员提供了高效而安全的权限管理机制。Sudo允许管理员赋予普通用户执行特定管理任务的权限,这些任务通常需要root权限,例如挂载文件系统、关闭...

    linux不能使用sudo命令解决方案

    Linux 无法使用 sudo 命令解决方案 Linux 系统中,sudo 命令是一种常用的权限提升命令,它允许普通用户以超级用户的身份执行命令。但是,在某些情况下,使用 sudo 命令时可能会出现 "username is not in the ...

    linux sudo

    ### Linux Sudo 命令详解 #### 一、Sudo 概述及特点 **Sudo**(Superuser DO)是一种广泛应用于Unix和Linux系统的工具,它允许系统管理员为普通用户分配特定权限,使他们能够在不需要登录为超级用户的情况下执行...

    linux su和sudo命令的区别.docx

    Linux su 和 sudo 命令的区别 su 命令是 Linux 中一个非常重要的命令,它允许用户临时切换到另一个用户的身份,以便完成一些需要特权的操作。su 命令的主要功能是切换用户身份,而不是切换到 root 用户。su 命令...

    Linux sudo 漏洞可能导致未经授权的特权访问

    Linux系统中的sudo命令是一个至关重要的工具,它允许用户以管理员(root)权限执行特定命令,而无需实际登录为root用户。然而,sudo命令近期被发现存在一个严重的安全漏洞,这个漏洞可能导致非授权用户获取root权限...

    linux编写bash shell脚本文件.sh 自动输入密码.在脚本中使用sudo命令,将密码保存在脚本中,不需要手动输入密码

    总之,在Linux Bash Shell脚本中使用`sudo`命令时,可以通过`expect`工具或修改`sudoers`文件来自动化密码输入。然而,这种方式应当谨慎使用,因为可能会降低系统的安全性。在实际应用中,应根据具体需求和安全策略...

    Linux命令su、sudo、sudo su、sudo -i使用和区别.doc

    sudo命令则允许用户以其他用户(通常为root)的身份执行单个命令,而不需要知道该用户的密码。用户需要输入自己的密码,因为sudo的权限是基于用户配置的。在大多数系统中,sudo执行的命令会有时间限制,比如Ubuntu...

    linux的sudo详解

    `sudo`(superuser do)是一个Linux及类Unix系统中广泛使用的命令,允许用户以超级用户或其他指定用户的权限执行命令。这一功能对于系统管理和日常维护至关重要,因为它提供了灵活而强大的权限管理机制。 #### 二、...

    sudo命令及权限管理命令

    一、sudo命令 概念: sudo是linux下常用的允许普通用户使用超级用户权限的工具,允许系统管理员让普通用户执行一些或者全部的root命令,如halt,reboot,su等。这样不仅减少了root用户的登录和管理时间,同样也提高...

    java在linux系统下开机启动无法使用sudo命令的原因及解决办法

    在Linux系统中,尤其是CentOS 5.2这样的老版本,有时会遇到Java程序在开机启动时无法使用`sudo`命令的问题。这个问题通常涉及到Linux的启动流程、`sudo`命令的配置以及用户权限等方面。在给出的场景中,一个WEB应用...

    Ubuntu中sudo命令的使用

    ### Ubuntu中sudo命令的使用详解 #### 一、引言 Ubuntu系统因其用户友好性和安全性而受到广泛欢迎。其中一个重要特性就是默认禁用了root账户的直接登录,而是通过`sudo`命令来实现管理员级别的操作。本文将深入...

    linux系统sudo命令详解

    **sudo命令详解:** `sudo`命令本身是一个设置了SUID(Set-User-Id)权限的二进制文件,所有用户都能以root权限运行它。它的执行需要用户输入自己的密码,而不是目标命令所需的root密码。`sudo`的配置都在/etc/...

    Linux系统中sudo命令的十个技巧总结

    然而,承担root用户角色的系统管理员可以允许其他正常系统用户在sudo命令和几个配置的帮助下运行某些命令以及执行包括上述的一些重要系统操作。 sudo 表示 “superuser do”。 它允许已验证的用户以其他用户的身份来...

    suse linux常用命令

    "Suse Linux常用命令" Suse Linux是一种流行的Linux发行版,广泛应用于服务器和桌面环境中。本文将对Suse Linux常用的命令进行总结,帮助初学者快速掌握Suse Linux的基本操作。 目录管理 在Suse Linux中,目录...

    Linux 中不输入密码运行 sudo 命令的方法

    在Linux系统中,`sudo`命令是一个至关重要的工具,它允许普通用户以超级用户(root)权限执行命令,从而能够执行需要管理员权限的任务。默认情况下,执行`sudo`命令时,系统会要求输入对应用户的密码,以确保安全性...

Global site tag (gtag.js) - Google Analytics