Linux中sudo和su之间的差别Word文档下载推荐.docx
- 文档编号:19083467
- 上传时间:2023-01-03
- 格式:DOCX
- 页数:29
- 大小:35.94KB
Linux中sudo和su之间的差别Word文档下载推荐.docx
《Linux中sudo和su之间的差别Word文档下载推荐.docx》由会员分享,可在线阅读,更多相关《Linux中sudo和su之间的差别Word文档下载推荐.docx(29页珍藏版)》请在冰豆网上搜索。
su加参数-,表示默认切换到root用户,并且改变到root用户的环境;
$pwd
$su-
[root@localhost~]#pwd
/root
su参数-用户名
[beinan@localhost~]$su-root注:
这个和su-是一样的功能;
[beinan@localhost~]$su-linuxsir注:
这是切换到linuxsir用户
注:
在这里输入密码;
[linuxsir@localhost~]$pwd注:
查看用户当前所处的位置;
/home/linuxsir
[linuxsir@localhost~]$id注:
查看用户的UID和GID信息,主要是看是否切换过来了;
uid=505(linuxsir)gid=502(linuxsir)groups=0(root),500(beinan),502(linuxsir)
[linuxsir@localhost~]$
[beinan@localhost~]$su--cls注:
这是su的参数组合,表示切换到root用户,并且改变到root环境,然后列出root家目录的文件,然后退出root用户;
在这里输入root的密码;
anaconda-ks.cfgDesktopinstall.loginstall.log.syslogtestgrouptestgroupbeinantestgrouproot
[beinan@localhost~]$pwd注:
查看当前用户所处的位置;
[beinan@localhost~]$id注:
查看当前用户信息;
uid=500(beinan)gid=500(beinan)groups=500(beinan)
4、su的优缺点;
su的确为管理带来方便,通过切换到root下,能完成所有系统管理工具,只要把root的密码交给任何一个普通用户,他都能切换到root来完成所有的系统管理工作;
但通过su切换到root后,也有不安全因素;
比如系统有10个用户,而且都参与管理。
如果这10个用户都涉及到超级权限的运用,做为管理员如果想让其它用户通过su来切换到超级权限的root,必须把root权限密码都告诉这10个用户;
如果这10个用户都有root权限,通过root权限可以做任何事,这在一定程度上就对系统的安全造成了威协;
想想Windows吧,简直就是恶梦;
“没有不安全的系统,只有不安全的人”,我们绝对不能保证这10个用户都能按正常操作流程来管理系统,其中任何一人对系统操作的重大失误,都可能导致系统崩溃或数据损失;
所以su工具在多人参与的系统管理中,并不是最好的选择,su只适用于一两个人参与管理的系统,毕竟su并不能让普通用户受限的使用;
超级用户root密码应该掌握在少数用户手中,这绝对是真理!
所以集权而治的存在还是有一定道理的;
二.sudo授权许可使用的su,也是受限制的su
1.sudo的适用条件
由于su对切换到超级权限用户root后,权限的无限制性,所以su并不能担任多个管理员所管理的系统。
如果用su来切换到超级用户来管理系统,也不能明确哪些工作是由哪个管理员进行的操作。
特别是对于服务器的管理有多人参与管理时,最好是针对每个管理员的技术特长和管理范围,并且有针对性的下放给权限,并且约定其使用哪些工具来完成与其相关的工作,这时我们就有必要用到sudo。
通过sudo,我们能把某些超级权限有针对性的下放,并且不需要普通用户知道root密码,所以sudo相对于权限无限制性的su来说,还是比较安全的,所以sudo也能被称为受限制的su;
另外sudo是需要授权许可的,所以也被称为授权许可的su;
sudo执行命令的流程是当前用户切换到root(或其它指定切换到的用户),然后以root(或其它指定的切换到的用户)身份执行命令,执行完成后,直接退回到当前用户;
而这些的前提是要通过sudo的配置文件/etc/sudoers来进行授权;
2、从编写sudo配置文件/etc/sudoers开始
sudo的配置文件是/etc/sudoers,我们可以用他的专用编辑工具visodu,此工具的好处是在添加规则不太准确时,保存退出时会提示给我们错误信息;
配置好后,可以用切换到您授权的用户下,通过sudo-l来查看哪些命令是可以执行或禁止的;
/etc/sudoers文件中每行算一个规则,前面带有#号可以当作是说明的内容,并不执行;
如果规则很长,一行列不下时,可以用\号来续行,这样看来一个规则也可以拥有多个行;
/etc/sudoers的规则可分为两类;
一类是别名定义,另一类是授权规则;
别名定义并不是必须的,但授权规则是必须的;
3、/etc/sudoers配置文件中别名规则
别名规则定义格式如下:
Alias_TypeNAME=item1,item2,...
或
Alias_TypeNAME=item1,item2,item3:
NAME=item4,item5
别名类型(Alias_Type):
别名类型包括如下四种
Host_Alias定义主机别名;
User_Alias用户别名,别名成员可以是用户,用户组(前面要加%号)
Runas_Alias用来定义runas别名,这个别名指定的是“目的用户”,即sudo允许切换至的用户;
Cmnd_Alias定义命令别名;
NAME就是别名了,NMAE的命名是包含大写字母、下划线以及数字,但必须以一个大写字母开头,比如SYNADM、SYN_ADM或SYNAD0是合法的,sYNAMDA或1SYNAD是不合法的;
item按中文翻译是项目,在这里我们可以译成成员,如果一个别名下有多个成员,成员与成员之间,通过半角,号分隔;
成员在必须是有效并事实存在的。
什么是有效的呢?
比如主机名,可以通过w查看用户的主机名(或ip地址),如果您只是本地机操作,只通过hostname命令就能查看;
用户名当然是在系统中存在的,在/etc/paswd中必须存在;
对于定义命令别名,成员也必须在系统中事实存在的文件名(需要绝对路径);
item成员受别名类型Host_Alias、User_Alias、Runas_Alias、Cmnd_Alias制约,定义什么类型的别名,就要有什么类型的成员相配。
我们用Host_Alias定义主机别名时,成员必须是与主机相关相关联,比如是主机名(包括远程登录的主机名)、ip地址(单个或整段)、掩码等;
当用户登录时,可以通过w命令来查看登录用户主机信息;
用User_Alias和Runas_Alias定义时,必须要用系统用户做为成员;
用Cmnd_Alias定义执行命令的别名时,必须是系统存在的文件,文件名可以用通配符表示,配置Cmnd_Alias时命令需要绝对路径;
其中Runas_Alias和User_Alias有点相似,但与User_Alias绝对不是同一个概念,Runas_Alias定义的是某个系统用户可以sudo切换身份到Runas_Alias下的成员;
我们在授权规则中以实例进行解说;
别名规则是每行算一个规则,如果一个别名规则一行容不下时,可以通过\来续行;
同一类型别名的定义,一次也可以定义几个别名,他们中间用:
号分隔,
Host_AliasHT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24注:
定义主机别名HT01,通过=号列出成员
Host_AliasHT02=st09,st10注:
主机别名HT02,有两个成员;
Host_AliasHT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24:
HT02=st09,st10注:
上面的两条对主机的定义,可以通过一条来实现,别名之间用:
号分割;
注:
我们通过Host_Alias定义主机别名时,项目可以是主机名、可以是单个ip(整段ip地址也可以),也可以是网络掩码;
如果是主机名,必须是多台机器的网络中,而且这些机器得能通过主机名相互通信访问才有效。
那什么才算是通过主机名相互通信或访问呢?
比如ping主机名,或通过远程访问主机名来访问。
在我们局域网中,如果让计算机通过主机名访问通信,必须设置/etc/hosts,/etc/resolv.conf,还要有DNS做解析,否则相互之间无法通过主机名访问;
在设置主机别名时,如果项目是中某个项目是主机名的话,可以通过hostname命令来查看本地主机的主机名,通过w命令查来看登录主机是来源,通过来源来确认其它客户机的主机名或ip地址;
对于主机别名的定义,看上去有点复杂,其实是很简单。
如果您不明白Host_Alias是怎么回事,也可以不用设置主机别名,在定义授权规则时通过ALL来匹配所有可能出现的主机情况。
如果您把主机方面的知识弄的更明白,的确需要多多学习。
User_AliasSYSAD=beinan,linuxsir,bnnnb,lanhaitun注:
定义用户别名,下有四个成员;
要在系统中确实在存在的;
User_AliasNETAD=beinan,bnnb注:
定义用户别名NETAD,我想让这个别名下的用户来管理网络,所以取了NETAD的别名;
User_AliasWEBMASTER=linuxsir注:
定义用户别名WEBMASTER,我想用这个别名下的用户来管理网站;
User_AliasSYSAD=beinan,linuxsir,bnnnb,lanhaitun:
NETAD=beinan,bnnb:
WEBMASTER=linuxsir注:
上面三行的别名定义,可以通过这一行来实现,请看前面的说明,是不是符合?
Cmnd_AliasUSERMAG=/usr/sbin/adduser,/usr/sbin/userdel,/usr/bin/passwd[A-Za-z]*,/bin/chown,/bin/chmod
注意:
命令别名下的成员必须是文件或目录的绝对路径;
Cmnd_AliasDISKMAG=/sbin/fdisk,/sbin/parted
Cmnd_AliasNETMAG=/sbin/ifconfig,/etc/init.d/network
Cmnd_AliasKILL=/usr/bin/kill
Cmnd_AliasPWMAG=/usr/sbin/reboot,/usr/sbin/halt
Cmnd_AliasSHELLS=/usr/bin/sh,/usr/bin/csh,/usr/bin/ksh,\
/usr/local/bin/tcsh,/usr/bin/rsh,\
/usr/local/bin/zsh
这行定义命令别名有点长,可以通过\号断行;
Cmnd_AliasSU=/usr/bin/su,/bin,/sbin,/usr/sbin,/usr/bin
在上面的例子中,有KILL和PWMAG的命令别名定义,我们可以合并为一行来写,也就是等价行;
Cmnd_AliasKILL=/usr/bin/kill:
PWMAG=/usr/sbin/reboot,/usr/sbin/halt注:
这一行就代表了KILL和PWMAG命令别名,把KILL和PWMAG的别名定义合并在一行写也是可以的;
Runas_AliasOP=root,operator
Runas_AliasDBADM=mysql:
OP=root,operator注:
这行是上面两行的等价行;
至于怎么理解Runas_Alias,我们必须得通过授权规则的实例来理解;
4、/etc/sudoers中的授权规则
授权规则是分配权限的执行规则,我们前面所讲到的定义别名主要是为了更方便的授权引用别名;
如果系统中只有几个用户,其实下放权限比较有限的话,可以不用定义别名,而是针对系统用户直接直接授权,所以在授权规则中别名并不是必须的;
授权规则并不是无章可寻,我们只说基础一点的,比较简单的写法,如果您想详细了解授权规则写法的,请参看mansudoers
授权用户主机=命令动作
这三个要素缺一不可,但在动作之前也可以指定切换到特定用户下,在这里指定切换的用户要用()号括起来,如果不需要密码直接运行命令的,应该加NOPASSWD:
参数,但这些可以省略;
举例说明;
实例一:
beinanALL=/bin/chown,/bin/chmod
如果我们在/etc/sudoers中添加这一行,表示beinan可以在任何可能出现的主机名的系统中,可以切换到root用户下执行/bin/chown和/bin/chmod命令,通过sudo-l来查看beinan在这台主机上允许和禁止运行的命令;
值得注意的是,在这里省略了指定切换到哪个用户下执行/bin/shown和/bin/chmod命令;
在省略的情况下默认为是切换到root用户下执行;
同时也省略了是不是需要beinan用户输入验证密码,如果省略了,默认为是需要验证密码。
为了更详细的说明这些,我们可以构造一个更复杂一点的公式;
授权用户主机=[(切换到哪些用户或用户组)][是否需要密码验证]命令1,[(切换到哪些用户或用户组)][是否需要密码验证][命令2],[(切换到哪些用户或用户组)][是否需要密码验证][命令3]....
注解:
凡是[]中的内容,是可以省略;
命令与命令之间用,号分隔;
通过本文的例子,可以对照着看哪些是省略了,哪些地方需要有空格;
在[(切换到哪些用户或用户组)],如果省略,则默认为root用户;
如果是ALL,则代表能切换到所有用户;
注意要切换到的目的用户必须用()号括起来,比如(ALL)、(beinan)
实例二:
beinanALL=(root)/bin/chown,/bin/chmod
如果我们把第一个实例中的那行去掉,换成这行;
表示的是beinan可以在任何可能出现的主机名的主机中,可以切换到root下执行/bin/chown,可以切换到任何用户招执行/bin/chmod命令,通过sudo-l来查看beinan在这台主机上允许和禁止运行的命令;
实例三:
beinanALL=(root)NOPASSWD:
/bin/chown,/bin/chmod
如果换成这个例子呢?
表示的是beinan可以在任何可能出现的主机名的主机中,可以切换到root下执行/bin/chown,不需要输入beinan用户的密码;
并且可以切换到任何用户下执行/bin/chmod命令,但执行chmod时需要beinan输入自己的密码;
通过sudo-l来查看beinan在这台主机上允许和禁止运行的命令;
关于一个命令动作是不是需要密码,我们可以发现在系统在默认的情况下是需要用户密码的,除非特加指出不需要用户需要输入自己密码,所以要在执行动作之前加入NOPASSWD:
参数;
有可能有的弟兄对系统管理的命令不太懂,不知道其用法,这样就影响了他对sudoers定义的理解,下面我们再举一个最简单,最有说服务力的例子;
实例四:
比如我们想用beinan普通用户通过more/etc/shadow文件的内容时,可能会出现下面的情况;
[beinan@localhost~]$more/etc/shadow/etc/shadow:
权限不够
这时我们可以用sudomore/etc/shadow来读取文件的内容;
就就需要在/etc/soduers中给beinan授权
于是我们就可以先su到root用户下通过visudo来改/etc/sudoers;
(比如我们是以beinan用户登录系统的)
[beinan@localhost~]$su
在这里输入root密码
下面运行visodu;
[root@localhostbeinan]#visudo注:
运行visudo来改/etc/sudoers
加入如下一行,退出保存;
退出保存,在这里要会用vi,visudo也是用的vi编辑器;
至于vi的用法不多说了;
beinanALL=/bin/more表示beinan可以切换到root下执行more来查看文件;
退回到beinan用户下,用exit命令;
[root@localhostbeinan]#exit
exit
[beinan@localhost~]$
查看beinan的通过sudo能执行哪些命令?
[beinan@localhost~]$sudo-l
在这里输入beinan用户的密码
Userbeinanmayrunthefollowingcommandsonthishost:
在这里清晰的说明在本台主机上,beinan用户可以以root权限运行more;
在root权限下的more,可以查看任何文本文件的内容的;
(root)/bin/more
最后,我们看看是不是beinan用户有能力看到/etc/shadow文件的内容;
[beinan@localhost~]$sudomore/etc/shadow
beinan不但能看到/etc/shadow文件的内容,还能看到只有root权限下才能看到的其它文件的内容,比如;
[beinan@localhost~]$sudomore/etc/gshadow
对于beinan用户查看和读取所有系统文件中,我只想把/etc/shadow的内容可以让他查看;
可以加入下面的一行;
beinanALL=/bin/more/etc/shadow
题外话:
有的弟兄会说,我通过su切换到root用户就能看到所有想看的内容了,哈哈,对啊。
但咱们现在不是在讲述sudo的用法吗?
如果主机上有多个用户并且不知道root用户的密码,但又想查看某些他们看不到的文件,这时就需要管理员授权了;
这就是sudo的好处;
实例五:
练习用户组在/etc/sudoers中写法;
如果用户组出现在/etc/sudoers中,前面要加%号,比如%beinan,中间不能有空格;
%beinanALL=/usr/sbin/*,/sbin/*
如果我们在/etc/sudoers中加上如上一行,表示beinan用户组下的所有成员,在所有可能的出现的主机名下,都能切换到root用户下运行/usr/sbin和/sbin目录下的所有命令;
实例六:
练习取消某类程序的执行:
取消程序某类程序的执行,要在命令动作前面加上!
号;
在本例中也出现了通配符的*的用法;
beinanALL=/usr/sbin/*,/sbin/*,!
/usr/sbin/fdisk注:
把这行规则加入到/etc/sudoers中;
但您得有beinan这个用户组,并且beinan也是这个组中的才行;
本规则表示beinan用户在所有可能存在的主机名的主机上运行/usr/sbin和/sbin下所有的程序,但fdisk程序除外;
在这里输入beinan用户的密码;
(root)/usr/sbin/*
(root)/sbin/*
(root)!
/sbin/fdisk
$sudo/sbin/fdisk-l
Sorry,userbeinanisnotallowedtoexecute'
/sbin/fdisk-l'
asrootonlocalhost.
不能切换到root用户下运行fdisk程序;
实例七:
别名的运用的实践;
假如我们就一台主机localhost,能通过hostname来查看,我们在这里就不定义主机别名了,用ALL来匹配所有可能出现的主机名;
并且有beinan、linuxsir、lanhaitun用户;
主要是通过小例子能更好理解;
sudo虽然简单好用,但能把说的明白的确是件难事;
最好的办法是多看例子和mansoduers;
User_AliasSYSADER=beinan,linuxsir,%beinan
User_AliasDISKADER=lanhaitun
Runas_AliasOP=root
Cmnd_AliasSYDCMD=/bin/chown,/bin/chmod,/usr/sbin/adduser,/usr/bin/passwd[A-Za-z]*,!
/usr/bin/passwdroot
Cmnd_AliasDSKCMD=/sbin/parted,/sbin/fdisk注:
定义命令别名DSKCMD,下有成员parted和fdisk;
SYSADERALL=SYDCMD,DSKCMD
DISKADERALL=(OP)DSKCMD
注解:
第一行:
定义用户别名SYSADER下有成员bei
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- Linux sudo su 之间 差别