关于su和sudo以及visudo的权限文档格式.docx
- 文档编号:21380960
- 上传时间:2023-01-30
- 格式:DOCX
- 页数:12
- 大小:24.03KB
关于su和sudo以及visudo的权限文档格式.docx
《关于su和sudo以及visudo的权限文档格式.docx》由会员分享,可在线阅读,更多相关《关于su和sudo以及visudo的权限文档格式.docx(12页珍藏版)》请在冰豆网上搜索。
$su-root注:
这个和su-[beinan@localhost~]是相同的功能;
Password:
[root@localhost~]#pwd
/root
$su-Linuxsir注:
这是转换到[beinan@localhost~]linuxsir用户
注:
在这里输入密码;
$pwd[linuxsir@localhost~]注:
查看用户当前所处的位置;
/home/linuxsir
$id[linuxsir@localhost~]注:
查看用户的UID和GID信息,主要是看是否转换过来了;
uid=505(linuxsir)gid=502(linuxsir)groups=0(root),500(beinan),502(linuxsir)
[linuxsir@localhost$~]
$su--cls[beinan@localhost~]注:
这是su的参数组合,表示转换到root用户,并且改变到root环境,然后列出root家目录的文档,然后退出root用户;
在这里输入root的密码;
anaconda-ks.cfgDesktopinstall.loginstall.log.syslogtestgrouptestgroupbeinantestgrouproot
$pwd[beinan@localhost~]注:
查看当前用户所处的位置;
/home/beinan
$id[beinan@localhost~]注:
查看当前用户信息;
uid=500(beinan)gid=500(beinan)groups=500(beinan)
4、su的优缺点;
su的确为管理带来方便,通过转换到root下,能完成任何系统管理工具,只要把root的密码交给任何一个普通用户,他都能转换到root来完成任何的系统管理工作;
但通过su转换到root后,也有不安全因素;
比如系统有10个用户,而且都参和管理。
假如这10个用户都涉及到终极权限的运用,做为管理员假如想让其他用户通过su来转换到终极权限的root,必须把root权限密码都告诉这10个用户;
假如这10个用户都有root权限,通过root权限能够做任何事,这在一定程度上就对系统的安全造成了威协;
想想Windows吧,简直就是恶梦;
“没有不安全的系统,只有不安全的人”,我们绝对不能确保这10个用户都能按正常操作流程来管理系统,其中任何一人对系统操作的重大失误,都可能导致系统崩溃或数据损失;
所以su工具在多人参和的系统管理中,并不是最好的选择,su只适用于一两个人参和管理的系统,毕竟su并不能让普通用户受限的使用;
终极用户root密码应该掌控在少数用户手中,这绝对是真理!
所以集权而治的存在还是有一定道理的;
二.sudo授权许可使用的su,也是受限制的su
1.sudo的适用条件
由于su对转换到终极权限用户root后,权限的无限制性,所以su并不能担任多个管理员所管理的系统。
假如用su来转换到终极用户来管理系统,也不能明确哪些工作是由哪个管理员进行的操作。
特别是对于服务器的管理有多人参和管理时,最好是针对每个管理员的技术特长和管理范围,并且有针对性的下放给权限,并且约定其使用哪些工具来完成和其相关的工作,这时我们就有必要用到sudo。
通过sudo,我们能把某些终极权限有针对性的下放,并且无需普通用户知道root密码,所以sudo相对于权限无限制性的su来说,还是比较安全的,所以sudo也能被称为受限制的su;
另外sudo是需要授权许可的,所以也被称为授权许可的su;
sudo执行命令的流程是当前用户转换到root(或其他指定转换到的用户),然后以root(或其他指定的转换到的用户)身份执行命令,执行完成后,直接退回到当前用户;
而这些的前提是要通过sudo的配置文档/etc/sudoers来进行授权;
2、从编写sudo配置文档/etc/sudoers开始
sudo的配置文档是/etc/sudoers,我们能够用他的专用编辑工具visodu,此工具的好处是在添加规则不太准确时,保存退出时会提示给我们错误信息;
配置好后,能够用转换到您授权的用户下,通过sudo-l来查看哪些命令是能够执行或禁止的;
/etc/sudoers文档中每行算一个规则,前面带有#号能够当作是说明的内容,并不执行;
假如规则很长,一行列不下时,能够用\号来续行,这样看来一个规则也能够拥有多个行;
/etc/sudoers的规则可分为两类;
一类是别名定义,另一类是授权规则;
别名定义并不是必须的,但授权规则是必须的;
3、/etc/sudoers配置文档中别名规则
别名规则定义格式如下:
Alias_TypeNAME=item1,item2,...
或
Alias_TypeNAME=item1,item2,item3:
NAME=item4,item5
别名类型(Alias_Type):
别名类型包括如下四种
Host_Alias定义主机别名;
User_Alias用户别名,别名成员能够是用户,用户组(前面要加%号)
Runas_Alias用来定义runas别名,这个别名指定的是“目的用户”,即sudo允许转换至的用户;
Cmnd_Alias定义命令别名;
NAME就是别名了,NMAE的命名是包含大写字母、下划线连同数字,但必须以一个大写字母开头,比如SYNADM、SYN_ADM或SYNAD0是合法的,sYNAMDA或1SYNAD是不合法的;
item按中文翻译是项目,在这里我们能够译成成员,假如一个别名下有多个成员,成员和成员之间,通过半角,号分隔;
成员在必须是有效并事实存在的。
什么是有效的呢?
比如主机名,能够通过w查看用户的主机名(或ip地址),假如您只是本地机操作,只通过hostname命令就能查看;
用户名当然是在系统中存在的,在/etc/paswd中必须存在;
对于定义命令别名,成员也必须在系统中事实存在的文档名(需要绝对路径);
item成员受别名类型Host_Alias、User_Alias、Runas_Alias、Cmnd_Alias制约,定义什么类型的别名,就要有什么类型的成员相配。
我们用Host_Alias定义主机别名时,成员必须是和主机相关相关联,比如是主机名(包括远程登录的主机名)、ip地址(单个或整段)、掩码等;
当用户登录时,能够通过w命令来查看登录用户主机信息;
用User_Alias和Runas_Alias定义时,必须要用系统用户做为成员;
用Cmnd_Alias定义执行命令的别名时,必须是系统存在的文档,文档名能够用通配符表示,配置Cmnd_Alias时命令需要绝对路径;
其中Runas_Alias和User_Alias有点相似,但和User_Alias绝对不是同一个概念,Runas_Alias定义的是某个系统用户能够sudo转换身份到Runas_Alias下的成员;
我们在授权规则中以实例进行解说;
别名规则是每行算一个规则,假如一个别名规则一行容不下时,能够通过\来续行;
同一类型别名的定义,一次也能够定义几个别名,他们中间用:
号分隔,
Host_AliasHT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24注:
定义主机别名HT01,通过=号列出成员
Host_AliasHT02=st09,st10注:
主机别名HT02,有两个成员;
Host_AliasHT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24:
HT02=st09,st10注:
上面的两条对主机的定义,能够通过一条来实现,别名之间用:
号分割;
注:
我们通过Host_Alias定义主机别名时,项目能够是主机名、能够是单个ip(整段ip地址也能够),也能够是网络掩码;
假如是主机名,必须是多台机器的网络中,而且这些机器得能通过主机名相互通信访问才有效。
那什么才算是通过主机名相互通信或访问呢?
比如ping主机名,或通过远程访问主机名来访问。
在我们局域网中,假如让电脑通过主机名访问通信,必须配置/etc/hosts,/etc/resolv.conf,还要有DNS做解析,否则相互之间无法通过主机名访问;
在配置主机别名时,假如项目是中某个项目是主机名的话,能够通过hostname命令来查看本地主机的主机名,通过w命令查来看登录主机是来源,通过来源来确认其他客户机的主机名或ip地址;
对于主机别名的定义,看上去有点复杂,其实是很简单。
假如您不明白Host_Alias是怎么回事,也能够不用配置主机别名,在定义授权规则时通过ALL来匹配任何可能出现的主机情况。
假如您把主机方面的知识弄的更明白,的确需要多多学习。
User_AliasSYSAD=beinan,linuxsir,bnnnb,lanhaitun注:
定义用户别名,下有四个成员;
要在系统中确实在存在的;
User_AliasNETAD=beinan,bnnb注:
定义用户别名NETAD,我想让这个别名下的用户来管理网络,所以取了NETAD的别名;
User_AliasWEBMASTER=linuxsir注:
定义用户别名WEBMASTER,我想用这个别名下的用户来管理网站;
User_AliasSYSAD=beinan,linuxsir,bnnnb,lanhaitun:
NETAD=beinan,bnnb:
WEBMASTER=linuxsir注:
上面三行的别名定义,能够通过这一行来实现,请看前面的说明,是不是符合?
Cmnd_AliasUSERMAG=/usr/sbin/adduser,/usr/sbin/userdel,/usr/bin/passwd[A-Za-z]*,/bin/chown,/bin/chmod
注意:
命令别名下的成员必须是文档或目录的绝对路径;
Cmnd_AliasDISKMAG=/sbin/fdisk,/sbin/partedCmnd_AliasNETMAG=/sbin/ifconfig,/etc/init.d/networkCmnd_AliasKILL=/usr/bin/killCmnd_AliasPWMAG=/usr/sbin/reboot,/usr/sbin/haltCmnd_AliasSHELLS=/usr/bin/sh,/usr/bin/csh,/usr/bin/ksh,\/usr/local/bin/tcsh,/usr/bin/rsh,\/usr/local/bin/zsh
这行定义命令别名有点长,能够通过\号断行;
Cmnd_AliasSU=/usr/bin/su,/bin,/sbin,/usr/sbin,/usr/bin
在上面的例子中,有KILL和PWMAG的命令别名定义,我们能够合并为一行来写,也就是等价行;
Cmnd_AliasKILL=/usr/bin/kill:
PWMAG=/usr/sbin/reboot,/usr/sbin/halt注:
这一行就代表了KILL和PWMAG命令别名,把KILL和PWMAG的别名定义合并在一行写也是能够的;
Runas_AliasOP=root,operator
Runas_AliasDBADM=mysql:
OP=root,operator注:
这行是上面两行的等价行;
至于怎么理解Runas_Alias,我们必须得通过授权规则的实例来理解;
4、/etc/sudoers中的授权规则
授权规则是分配权限的执行规则,我们前面所讲到的定义别名主要是为了更方便的授权引用别名;
假如系统中只有几个用户,其实下放权限比较有限的话,能够不用定义别名,而是针对系统用户直接直接授权,所以在授权规则中别名并不是必须的;
授权规则并不是无章可寻,我们只说基础一点的,比较简单的写法,假如您想周详了解授权规则写法的,请参看mansudoers
授权用户主机=命令动作
这三个要素缺一不可,但在动作之前也能够指定转换到特定用户下,在这里指定转换的用户要用()号括起来,假如无需密码直接运行命令的,应该加NOPASSWD:
参数,但这些能够省略;
举例说明;
实例一:
beinanALL=/bin/chown,/bin/chmod
假如我们在/etc/sudoers中添加这一行,表示beinan能够在任何可能出现的主机名的系统中,能够转换到root用户下执行/bin/chown和/bin/chmod命令,通过sudo-l来查看beinan在这台主机上允许和禁止运行的命令;
值得注意的是,在这里省略了指定转换到哪个用户下执行/bin/shown和/bin/chmod命令;
在省略的情况下默认为是转换到root用户下执行;
同时也省略了是不是需要beinan用户输入验证密码,假如省略了,默认为是需要验证密码。
为了更周详的说明这些,我们能够构造一个更复杂一点的公式;
授权用户主机=[(转换到哪些用户或用户组)][是否需要密码验证]命令1,[(转换到哪些用户或用户组)][是否需要密码验证][命令2],[(转换到哪些用户或用户组)][是否需要密码验证][命令3]....
注解:
凡是[]中的内容,是能够省略;
命令和命令之间用,号分隔;
通过本文的例子,能够对照着看哪些是省略了,哪些地方需要有空格;
在[(转换到哪些用户或用户组)],假如省略,则默认为root用户;
假如是ALL,则代表能转换到任何用户;
注意要转换到的目的用户必须用()号括起来,比如(ALL)、(beinan)
实例二:
beinanALL=(root)/bin/chown,/bin/chmod
假如我们把第一个实例中的那行去掉,换成这行;
表示的是beinan能够在任何可能出现的主机名的主机中,能够转换到root下执行/bin/chown,能够转换到任何用户招执行/bin/chmod命令,通过sudo-l来查看beinan在这台主机上允许和禁止运行的命令;
实例三:
beinanALL=(root)NOPASSWD:
/bin/chown,/bin/chmod
假如换成这个例子呢?
表示的是beinan能够在任何可能出现的主机名的主机中,能够转换到root下执行/bin/chown,无需输入beinan用户的密码;
并且能够转换到任何用户下执行/bin/chmod命令,但执行chmod时需要beinan输入自己的密码;
通过sudo-l来查看beinan在这台主机上允许和禁止运行的命令;
关于一个命令动作是不是需要密码,我们能够发现在系统在默认的情况下是需要用户密码的,除非特加指出无需用户需要输入自己密码,所以要在执行动作之前加入NOPASSWD:
参数;
有可能有的弟兄对系统管理的命令不太懂,不知道其用法,这样就影响了他对sudoers定义的理解,下面我们再举一个最简单,最有说服务力的例子;
实例四:
比如我们想用beinan普通用户通过more/etc/shadow文档的内容时,可能会出现下面的情况;
$more[beinan@localhost~]/etc/shadow/etc/shadow:
权限不够
这时我们能够用sudomore/etc/shadow来读取文档的内容;
就就需要在/etc/soduers中给beinan授权
于是我们就能够先su到root用户下通过visudo来改/etc/sudoers;
(比如我们是以beinan用户登录系统的)
$[beinan@localhost~]su
在这里输入root密码
下面运行visodu;
[root@localhostbeinan]#visudo注:
运行visudo来改/etc/sudoers
加入如下一行,退出保存;
退出保存,在这里要会用vi,visudo也是用的vi编辑器;
至于vi的用法不多说了;
beinanALL=/bin/more表示beinan能够转换到root下执行more来查看文档;
退回到beinan用户下,用exit命令;
[root@localhostbeinan]#exit
exit
[beinan@localhost$~]
查看beinan的通过sudo能执行哪些命令?
$sudo[beinan@localhost~]-l
在这里输入beinan用户的密码
Userbeinanmayrunthefollowingcommandsonthishost:
在这里清楚的说明在本台主机上,beinan用户能够以root权限运行more;
在root权限下的more,能够查看任何文本文档的内容的;
(root)/bin/more
最后,我们看看是不是beinan用户有能力看到/etc/shadow文档的内容;
[beinan@localhost$sudomore/etc/shadow~]
beinan不但能看到/etc/shadow文档的内容,还能看到只有root权限下才能看到的其他文档的内容,比如;
$[beinan@localhost~]sudomore/etc/gshadow
对于beinan用户查看和读取任何系统文档中,我只想把/etc/shadow的内容能够让他查看;
能够加入下面的一行;
beinanALL=/bin/more/etc/shadow
题外话:
有的弟兄会说,我通过su转换到root用户就能看到任何想看的内容了,哈哈,对啊。
但咱们现在不是在讲述sudo的用法吗?
假如主机上有多个用户并且不知道root用户的密码,但又想查看某些他们看不到的文档,这时就需要管理员授权了;
这就是sudo的好处;
实例五:
练习用户组在/etc/sudoers中写法;
假如用户组出现在/etc/sudoers中,前面要加%号,比如%beinan,中间不能有空格;
%beinanALL=/usr/sbin/*,/sbin/*
假如我们在/etc/sudoers中加上如上一行,表示beinan用户组下的任何成员,在任何可能的出现的主机名下,都能转换到root用户下运行/usr/sbin和/sbin目录下的任何命令;
实例六:
练习取消某类程式的执行:
取消程式某类程式的执行,要在命令动作前面加上!
号;
在本例中也出现了通配符的*的用法;
beinanALL=/usr/sbin/*,/sbin/*,!
/usr/sbin/fdisk注:
把这行规则加入到/etc/sudoers中;
但您得有beinan这个用户组,并且beinan也是这个组中的才行;
本规则表示beinan用户在任何可能存在的主机名的主机上运行/usr/sbin和/sbin下任何的程式,但fdisk程式除外;
$sudo-l[beinan@localhost~]
在这里输入beinan用户的密码;
Userbeinanmayrunthefollowingcommandsonthis$host:
(root)/usr/sbin/*(root)/sbin/*(root)!
/sbin/fdisk[beinan@localhost~]sudo/sbin/fdisk-lSorry,userbeinanisnotallowedtoexecute'
/sbin/fdisk-l'
asrootonlocalhost.
不能转换到root用户下运行fdisk程式;
实例七:
别名的运用实践;
假如我们就一台主机localhost,能通过hostname来查看,我们在这里就不定义主机别名了,用ALL来匹配任何可能出现的主机名;
并且有beinan、linuxsir、lanhaitun用户;
主要是通过小例子能更好理解;
sudo虽然简单好用,但能把说的明白的确是件难事;
最好的办法是多看例子和mansoduers;
User_AliasSYSADER=beinan,linuxsir,%beinan
User_AliasDISKADER=lanhaitun
Runas_AliasOP=root
Cmnd_AliasSYDCMD=/bin/chown,/bin/chmod,/usr/sbin/adduser,/usr/bin/passwd[A-Za-z]*,!
/usr/bin/passwdroot
Cmnd_AliasDSKCMD=/sbin/parted,
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 关于 su sudo 以及 visudo 权限