首页 > 代码库 > sudo详解

sudo详解

  sudo详解


  目录

  前言

   1、原理

   二、命令

   三、sudo配置

    1、配置文件

    2、时间戳文件

    3、日志文件

    4、配置文件支持使用通配符glob

    5、配置文件规则有两类

    6、授权规则

      1)授权格式

      2)格式说明

    7、sudo别名

      1)别名有四种类型

      2)别名格式


前言

Sudo(substitute user [或 superuser] do),是一种程序,用于类Unix操作系统如BSD,Mac OS X,以及GNU/Linux以允许用户

通过安全的方式使用特殊的权限运行程序(通常为系统的超级用户)。

        对linux有一定了解的人多少也会知道点关于sudo命令。sudo命令核心思想是权限的赋予 ,即某个命令的所属用户不是你自己,而你

却有权限执行它。但是我们需要注意的是,虽然你有权限执行这个命令,但是在执行的时候却仍是以这个命令本身所属用户来完成的[注释

1]。(su命令类似sudo命令,但是两者的差别在于前者su是一个粗粒度权限赋予,对su最好的理解我觉得是change user running 

command permanent。即永久的切换到了su过去的用户,然后以这个su到的新用户干它能干的一切事情,而sudo则是指在执行某个命令

的时候临时切换到这个命令的所属用户执行[注释1],而且sudo可以做到以单个命令为单位将权限赋予给其他用户,相比su显得更加灵活。)


1、原理

    在sudo于1980年前后被写出之前[2],一般用户管理系统的方式是利用su切换为超级用户。但是使用su的缺点之一在于必须要先告知超级用户的密码。

    sudo使一般用户不需要知道超级用户的密码即可获得权限。首先超级用户将普通用户的名字、可以执行的特定命令、按照哪种用户或用户组的身份执行等信息,登记在特殊的文件中(通常是/etc/sudoers),即完成对该用户的授权(此时该用户称为“sudoer”)[3];在一般用户需要获取特殊权限时,其可在命令前加上“sudo”,此时sudo将会询问该用户自己的密码(以确认终端机前的是该用户本人),回答后系统即会将该命令的进程以超级用户的权限运行。之后的一段时间内(默认为5分钟[4],可在/etc/sudoers自定义),使用sudo不需要再次输入密码。

    由于不需要超级用户的密码,部分Unix系统甚至利用sudo使一般用户替换超级用户作为管理账号,例如Ubuntu、Mac OS X等。


二、命令

    语法

    sudo [-bhHpV][-s ][-u <用户>][指令]

    或sudo [-klv]

    参数

   -a type       使用指定的 BSD 认证类型

   -b            在后台运行命令

   -C fd         关闭所有 >= fd 的文件描述符

   -E            在执行命令时保留用户环境

   -e            编辑文件而非执行命令

   -g group      以指定的用户组执行命令

    -H            将 HOME 变量设为目标用户的主目录。

   -h            显示帮助消息并退出

   -i [command]  以目标用户身份运行一个登录 shell

   -K            完全移除时间戳文件

   -k            无效的时间戳文件

   -l[l] command 列出用户能执行的命令

   -n            非交互模式,将不提示用户

   -P            保留组向量,而非设置为目标的组向量

   -p prompt     使用指定的密码提示

   -S            从标准输入读取密码

   -s [command]  以目标用户身份运行 shell

   -U user       在列表时,列出指定用户的权限

   -u user       以指定用户身份运行命令(或编辑文件)

   -V            显示版本信息并退出

   -v            更新用户的时间戳而不执行命令

   --            停止处理命令行参数

三、sudo配置

       1、配置文件

/ect/sudoers

                    下文的中授权或别名写入该文件即可

                    执行visudo命令可编写

/ect/sudoers.d/

                    可在该目录下自定义文件并将授权或别名写入。

        2、时间戳文件

/va/db/sudo

        3、日志文件

/var/log/secure

        4、配置文件支持使用通配符glob:

?:任意单一字符

*:匹配任意长度字符

[wxc]:匹配其中一个字符

[!wxc]:除了这三个字符的其它字符

\x :转义

[[alpha]] :字母  示例  /bin/ls   [[alpha]]*

        5、配置文件规则有两类

1、别名定义:不需必须的

2、授权规则:必须的。

6、授权规则

    1)授权格式

用户 登入主机=(代表用户) 命令

 示例 :

root ALL=(ALL) ALL

wang ALL=(ALL) /bin/mount /dev/sr1 /mnt/dvd2  

#意思是任何主机可以登录用户wang并代表所有用户利用所有的权限执行mount命令将/dev/sr1 挂载到/mnt/dvd2

授权用户 主机=[(切换到哪些用户或用户组)] [是否需要密码验证] 命令1,[(切换到哪些用户或用户组)] [是否需要密码验证] [命令

        2],[(切换到哪些用户或用户组)] [是否需要密码验证] [命令3]......

%wheel ALL=(ALL) NOPASSWD: ALL

#这里的NOPASSWD 代表无需密码验证。

    2)格式说明:

user :运行命令者的身份

host:通过那些主机

(runas):以那个用户的身份

Command :运行那些命令


User和runas


username

#uid

%group_name

%#gid

User_aliasrunas_ailas

Host:

Ip或hostname

netwoek(/netmask)

host_alias

command:

command name

directory

sudoedit

Cmnd_Alias

7、sudo别名

别名:(这里的别名可以理解为定义的组)

    1)别名有四种类型:

User_Alias   #用户别名 别名成员可以是用户,用户组(前面要加%号)

Runas_Alias #用来定义runas别名,指定的是“目的用户”,即sudo 允许切换至的用户;

Host_Alias #which host 那些主机上

Cmnd_Alias   #  command执行那些命令

    2)别名格式

            别名必须命名是包含大写字母、下划线以及数字,但必须以一个大写字母开头[A_Z]([A_Z][0-9]_)*

    示例: User_Alias NAME = wang,alice

    Cmnd_Alias DISKMAG=/sbin/fdisk,/sbin/parted

     Cmnd_Alias NETMAG=/sbin/ifconfig,/etc/init.d/network

      Runas_Alias OP = root, operator

      Host_Alias HT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24

      Cmnd_Alias ADMINCMD = /usr/sbin/useradd

      Cmnd_Alias CMD=/usr/sbin/usermod, /usr/bin/passwd [a-zA-Z]*

      Cmnd_Alias CMD1=!/usr/bin/passwd root #!意思代表取反


本文出自 “秋季” 博客,请务必保留此出处http://lxlxlx.blog.51cto.com/3363989/1879378

sudo详解