首页 > 代码库 > Linux课程笔记 用户身份切换命令

Linux课程笔记 用户身份切换命令

 超级用户root具有超级管理权限,由于权限太大,如果管理不好,就会对系统安全带来安全隐患。在工作场景中,一般临时性处理工作,都是以普通用户的身份完成,只在必要时才使用超级用户root。

1  su命令

1.1  su介绍 

通过su命令可以在用户之间切换,超级用户root向普通用户或虚拟用户切换不需要密码(这就是超极权限所在)。其他普通用户之间或者普通用户切换到root,都需要切换用户的秘密验证。

   

su参数选项

注释说明

-,-l,--login

使一个shell成为登陆的shell,如执行su - oldboy,表示该用户改变身份为oldboy,并且使用oldboy用户的环境变量配置。

-c,--command=COMMAND

切换到一个shell下,执行一个命令,然后退出所切换的用户环境

-m,--presserve-environment

切换用户时,不重置用户环境变量,-p的功能同-m,这个参数为su的默认值,较少使用

-s,--shell=SHELL

如果/ec/shell允许,则运行指定的shell

 

  su实例:

[qinbf@qinbf ~]$ whoami

qinbf

[qinbf@qinbf ~]$ su -  #输入的是root的密码

口令:

[root@qinbf ~]# whoami

root

[root@qinbf ~]# env

HOSTNAME=qinbf

SHELL=/bin/bash

TERM=linux

HISTSIZE=1000

USER=root

……

PWD=/root

LANG=zh_CN.UTF-8

SHLVL=1

HOME=/root

LOGNAME=root

[root@qinbf ~]# su - qinbf

[qinbf@qinbf ~]$ whoami

qinbf

[qinbf@qinbf ~]$ env

HOSTNAME=qinbf

SHELL=/bin/bash

TERM=linux

HISTSIZE=1000

USER=qinbf

…….

PWD=/home/qinbf

LANG=zh_CN.UTF-8

SHLVL=1

HOME=/home/qinbf

LOGNAME=qinbf

[qinbf@qinbf ~]$ exit   # exit退出当前用户,这个命令可以用ctrl+d替换

logout

 

[root@qinbf ~]#

总结:su切换到其他用户不加“-”,环境变量是不会改变的,可能会导致异常,比较规范的写法是“su  -  用户”

 

如何让系统在每一次开机时自动普通用户启动指定的服务脚本?

把要执行的脚本放入开机自启动配置文件/etc/rc.local

su  -  tddoc  -c  ‘/bin/sh /home/tddoc/bin/deploy.sh’

 

su命令优缺点

            su命令为我们管理linux带来方便,但是也带来了很大的安全管理问题,切换到root身份,可以改掉root的密码,让其他用户无法再切换到root。使用su命令切换身份在多个系统管理员共同管理的场合,并不是最好的选择。建议使用sudo代替su。

      su致命的缺点:

1)   普通用户必须知道root密码才可以切换到root,这样root密码就泄露开了。

2)   使用su命令切换身份,无法对切换后的身份做精细的控制,可以为所欲为,甚至改掉root密码。

 

2 sudo命令

通过sudo命令,我们可以把某些超级用户权限分类有针对性(精细)授权给指定的普通用户,并且普通用户不需要知道root密码就可以使用得到的授权。

2.1  sudo执行的流程

1)                 当用户执行sudo时,系统会首先查找/var/run/sudo/%HOME(如果是新用户会先生成此目录)目录中是否有用户时间戳文件,如果时间戳文件过期,则提示用户是否输入自身的密码(不是root或者要切换的用户密码)

2)                 当密码验证成功后,系统会查找/etc/sudoers配置文件,判断用户是否有执行相应sudo命令权限

3)                 如果具备执行相应sudo权限,就会自动由当前用户切换到root,然后以root身份执行该命令

4)                 执行完成后,又会自动直接退回到当前用户shell下。

2.2  sudo语法

      sudo  [参数选项] 命令

sudo参数选项

注释说明

-l

列出用户在主机上可用的和被禁止的命令

-v

验证用户的时间戳;当用户运行sudo,输入用户的密码后,在短时间内可以不用输入口令直接运行sudo,可用-v可以跟踪最新的时间戳

-u

指定以某个用户身份执行特定的操作

-k

同-K,删除时间戳,下一个sudo命令提供密码。前提是该用户授权中不能有NOPASSWD参数

 

                            sudo授权的方法

1)   执行visudo命令

2)   直接修改/etc/sudoers文件

直接修改sudoers配置文件方法有以下需要注意的几点:

  1. echo命令是追加>>,不是重定向>,除了echo外,可以用cat、sed等命令实现此功能;
  2. 修改操作完成一定要执行visudo  -c进行语法检查,这弥补了直接修改的不足
  3. 确保/etc/sudoers权限是正确的(-r--r-----),权限不对会导致sudo功能异常
  4. 及时对授权的操作进行测试,验证是否正确(最好不要退出当前授权窗口)
  5. 确保知道正确root用户密码,以便在出现问题时可以通过普通用户等候执行su-命令切换到root进行恢复。

3)   使用用户组的方式实现sudo授权

通过授权一个用户组的方式来配置/etc/sudoers,这样以后有增加用户需要相同的授权时,直接将用户加入到sa组就可以享受sa组的sudo授权了。

 

%sa                     ALL=(All)            ALL

#注意用户组授权和普通用户的区别,开头为“%”百分号。sa组同用户一样必须是已经存在的。

 

2.3  sudo实例:

[root@qinbf ~]# useradd sun

[root@qinbf ~]# echo "qbf" |passwd --stdin sun

Changing password for user sun.

passwd: all authentication tokens updated successfully.

[root@qinbf ~]# su - sun

[sun@qinbf ~]$ touch /root/sun.txt

touch: 无法触碰 “/root/sun.txt”: 权限不够

[sun@qinbf ~]$ sudo /root/sun.txt

 

We trust you have received the usual lecture from the local System

Administrator. It usually boils down to these three things:

 

    #1) Respect the privacy of others.

    #2) Think before you type.

    #3) With great power comes great responsibility.

 

[sudo] password for sun:

Sorry, try again.

[sudo] password for sun:

sun is not in the sudoers file.  This incident will be reported.

 

方法一:

[root@qinbf ~]# visudo

81 ## Allow root to run any commands anywhere

     82

     83 root    ALL=(ALL)       ALL

     84 qinbf   ALL=(ALL)       ALL

     85 sun     ALL=(ALL)       ALL #允许sun用户在任何主机、对任何用户、执行任何操作

 

方法二:

[root@qinbf ~]# echo "sun   ALL=(ALL)   ALL">>/etc/sudoers

[root@qinbf ~]# visudo -c    #检查/etc/sudoers文件的语法

/etc/sudoers: parsed OK

[root@qinbf ~]# ll /etc/sudoers  #检查/etc/sudoers文件的权限

-r--r----- 1 root root 3438 06-05 15:05 /etc/sudoers

 

方法三:

[root@qinbf ~]# grep sa /etc/group

sa:x:801:oldboy6

[root@qinbf ~]# echo "%sa   ALL=(ALL)   ALL">>/etc/sudoers

[root@qinbf ~]# usermod -G sa sun

 

验证:

[sun@qinbf ~]$ sudo touch /root/sun.doc

[sun@qinbf ~]$ sudo ls -l /root/sun.doc

-rw-r--r-- 1 root root 0 06-05 15:10 /root/sun.doc

 

 3  /etc/sudoers配置文件

 3.1    /etc/sudoers的规则大致可分为两类:一类是别名定义,另一类是授权规则;别名定义并不是必须的,但授权规则是必须的。

                

1)   Host_Alias定义主机别名

# Host_Alias     FILESERVERS = fs1, fs2

# Host_Alias     MAILSERVERS = smtp, smtp2

                  

2)   User_Alias定义用户别名

User_Alias  ADMINS = jsmith, mikem

 

3)   Runas_Alias定义runas别名

这个别名指定的是“用户身份”,即sudo允许切换至的用户

Runas_Alias SUPER = root

 

4)   Cmnd_Alias定义命令别名

## Services

#Cmnd_Alias SERVICES = /sbin/service, /sbin/chkconfig

 

## Updating the locate database

#Cmnd_Alias LOCATE = /usr/bin/updatedb

 

3.2 别名实例

                            实例1:定义用户别名

User_Alias  ADMINS = oldboy,  ett,  %oldboy

#-->定义用户别名ADMINS,包含oldboy,ett及oldboy组的成员

                           

                            实例2:定义命令别名

Cmnd_Alias  NETWORK = /sbin/ifconfig, /etc/init.d/network

#

1)  所有的命令别名下的成员必须是文件或目录的绝对路径

2) 命令别名超过一行时,可以通过“\”号换行

3) 在定义时,可以使用正则表达式,如/usr/bin/passwd [A-Za-z]*。

 

                            实例3:定义Runas别名

Runas_Alias  OP = root, oldboy

特别说明:runas别名的定义也不多见

 

 3.3  /etc/sudoers配置文件中的授权规则

                           

oldboy      ALL=(ALL)    ALL

#-->授权中的所有ALL字符串必须大写。其中,第一、二个ALL字符串不大写的话,visudo语法检查可以过,但是授权实际配置达不到配置需求,最后一个ALL必须大写,否则visudo语法检查通不过。

 

这一行代表的意思是:

授权用户    主机=(指定的可切换的用户) 可以执行的命令动作

因此,上面一行授权内容的实际意思就是,oldboy用户可以在所有的主机上,切换到所有用户,执行所有的命令。

 

如果忽略上面括号的内容,如写成:

oldboy      ALL=         ALL

那么只能切换到root执行所有命令。

 

如果希望在执行命令时不提示密码,就用这个NOPASSWD:ALL语法来授权

如果不希望执行某个命令,那么就在这个命令前面加上“!”

 

 3.4  /etc/sudoers配置文件授权规则实例

在/etc/sudoers文件的末尾添加以下两行:

Cmnd_Alias USER_ADMIN = /usr/sbin/useradd, /usr/sbin/userdel, !/usr/bin/passwd, /usr/bin/passwd [A-Za-z]*, !/usr/bin/passwd root

 

test  ALL=(ALL)    USER_ADMIN

"/etc/sudoers" 109L, 3595C 已写入

[root@test2 ~]# visudo -c

/etc/sudoers: parsed OK

[root@test2 ~]# ll /etc/sudoers

-r--r----- 1 root root 3595 06-08 10:07 /etc/sudoers

 

[test@test2 ~]$ vi .bash_profile

#修改test用户的环境变量,添加以下黄色部分的变量

PATH=$PATH:$HOME/bin:/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin

 

[test@test2 ~]$ source .bash_profile

[test@test2 ~]$ sudo useradd bifeng 

[sudo] password for test:

[test@test2 ~]$ sudo passwd bifeng

Changing password for user bifeng.

New UNIX password:

Retype new UNIX password:

Sorry, passwords do not match.

New UNIX password:

Retype new UNIX password:

passwd: all authentication tokens updated successfully.

 

[test@test2 ~]$ sudo passwd root

[sudo] password for test:

Sorry, user test is not allowed to execute ‘/usr/bin/passwd root‘ as root on test2.localdomain.

[test@test2 ~]$ sudo passwd

[sudo] password for test:

Sorry, user test is not allowed to execute ‘/usr/bin/passwd‘ as root on test2.localdomain.

 

再添加一行:

Cmnd_Alias USER_CHANGE = /bin/chown

修改test的权限:

test  ALL=(ALL)    USER_ADMIN, NOPASSWD: USER_CHANGE

 

[test@test2 ~]$ sudo /bin/chown sun.sun /root/sun.txt

[test@test2 ~]$

#-----à不再需要密码提示

 

3.5 sudo配置文件/etc/sudoers授权规则注意事项总结:

1)   授权规则中的所有ALL字符串必须为大写字母

2)   Cmnd_Alias USERCMD = /usr/sbin/useradd, /usr/sbin/userdel, !/usr/bin/passwd、/usr/bin/passwd[A-Za-z]*, /bin/chown, !/usr/bin/passwd root

允许执行的命令是有顺序的,从老师的测试结果来看,命令的顺序是从后面向前,即把允许执行的命令放在禁止命令的后面

3)   一行内容超长可以用“\”斜线换行

4)   “!”叹号表示非,就是命令取反的意思,即禁止执行的命令。

5)   测试之前要记得修改普通用户的环境变量.bash_profile文件,把root的环境变量加入到普通用户的后面。

 

3.6 远程执行sudo命令

在默认情况下,我们是无法通过ssh远程执行sudo命令的

 

在/etc/sudoers有这样的配置:

53 # Disable "ssh hostname sudo <cmd>", because it will show the password in clear.

 54 #         You have to run "ssh -t hostname sudo <cmd>".

 55 #

 56 Defaults    requiretty

 

根据注释我们可以知道,这个“Default  requiretty”就是禁止我们通过ssh远程执行sudo命令的明确配置,但是禁止执行的远程ssh  sudo  命令格式为“ssh  hostname  sudo  <cmd>”,禁止的原因是因为会明文显示密码,但是我们可以通过“ssh  -t  hostname sudo  <cmd>”的方式

 

 

 4 配置sudo命令审计

 4.1 日志文件配置

1)安装sudo,syslog命令服务

yum  install  sudo syslog

[root@test2 ~]# yum install sudo syslog

 

2)配置系统日志/etc/syslog.conf

           echo  “local2.debug    /var/log/sudo.log” >>/etc/syslog.conf

31news.=crit                             /var/log/news/news.crit

 32news.=err                             /var/log/news/news.err

 33news.notice                           /var/log/news/news.notice

 34local2.debug                          /var/log/sudo.log

 

3) 配置/etc/sudoers

           增加配置“Defaults      logfile=/var/log/sudo.log”>>/etc/sudoers

 

4) 重启syslog内核日志记录器

           /etc/init.d/syslog  restart

[root@test2 ~]# /etc/init.d/syslog restart

关闭内核日志记录器:                                       [确定]

关闭系统日志记录器:                                       [确定]

启动系统日志记录器:                                       [确定]

启动内核日志记录器:                                       [确定]

 

5) 测试sudo日志审计配置结果

[test@test2 ~]$ sudo useradd bill

[test@test2 ~]$ sudo passwd bill

Changing password for user bill.

New UNIX password:

Retype new UNIX password:

passwd: all authentication tokens updated successfully.

 

[test@test2 ~]$ sudo useradd lily

[test@test2 ~]$ passwd lily

passwd: Only root can specify a user name.

[test@test2 ~]$ sudo passwd lily

Changing password for user lily.

New UNIX password:

Retype new UNIX password:

passwd: all authentication tokens updated successfully.

 

[test@test2 ~]$ sudo chown root.root /root/sun.txt

 

[root@test2 ~]# tail /var/log/sudo.log

 6月  8 11:02:45 : test : TTY=pts/1 ; PWD=/home/test ; USER=root ;

    COMMAND=/usr/sbin/useradd bill

 6月  8 11:02:52 : test : TTY=pts/1 ; PWD=/home/test ; USER=root ;

    COMMAND=/usr/bin/passwd bill

 6月  8 11:03:32 : test : TTY=pts/1 ; PWD=/home/test ; USER=root ; COMMAND=list

 6月  8 11:03:51 : test : TTY=pts/1 ; PWD=/home/test ; USER=root ; COMMAND=validate

 6月  8 11:04:12 : test : TTY=pts/1 ; PWD=/home/test ; USER=root ;

    COMMAND=/usr/sbin/useradd lily

 6月  8 11:04:22 : test : TTY=pts/1 ; PWD=/home/test ; USER=root ;

COMMAND=/usr/bin/passwd lily

6月  8 11:07:04 : test : TTY=pts/1 ; PWD=/home/test ; USER=root ;

    COMMAND=/bin/chown root.root /root/sun.txt

 

4.2 日志写到其他主机:
  1. 配置syslog服务器配置文件(/etc/sysconfig/syslog)中添加:

SYSLOGD_OPTIONS=”-m O -r -x”  # -r是指接收远程日志的意思

重启syslog服务器

/etc/init.d/syslog   restart

 

  1. 客户端配置

编辑/etc/syslog.conf

修改

local2.debug   /var/log/sudo.log

修改为

local2.debug   @中央服务器的IP

 

 

 

Linux课程笔记 用户身份切换命令