Linux之sudo

Linux之sudo一、sudo简介
sudo是unix/linux平台上的一个非常有用的工具，它允许系统管理员分配给普通用户一些合理的权力，让他们执行一些只有超级用户或其他特许用户才能完成的任务，比如：运行一些像restart，reboot，passwd之类的命令，或者编辑一些系统配置文件，这样不仅减少了用户登录次数和管理时间，也提高了系统安全性。
sudo的特点：限制用户只在某台主机上运行某些命令、详细地记录了每个用户干了什么，能够将日志传到中心主机或者日志服务器、管理员提供配置文件，允许系统管理员集中地管理用户的使用权限和使用的主机（默认存放位置是/etc/sudoers）、使用时间戳文件来完成类似“检票”的系统（如：当用户调用sudo并且输入它的密码时，用户获得了一张存活期5分钟的票）
二、sudo常见用法：
-V 显示版本编号
-h 会显示版本编号及指令的使用方式说明
-l 显示出自己（执行sudo的使用者）的权限
-v 因为sudo在第一次执行时或是在N分钟内没有执行（N预设为五）会问密码。这个参数是重新做一次确认，如果超过N分钟，也会问密码
-k 将会强迫使用者在下一次执行sudo是问密码（不论有没有超过N分钟）
-b 将要执行的指令放在背景执行
-p prompt 可以更改问密码的提示语，其中 %u 会代换为使用者的帐号名称， %h 会显示主机名称
-u username/#uid 不加此参数，代表要以 root 的身份执行指令，而加了此参数，可以以 username 的身份执行指令（#uid 为该 username 的使用者号码）
-s 执行环境变数中的 SHELL 所指定的 shell ，或是 /etc/passwd 里所指定的 shell
-H 将环境变数中的 HOME （家目录）指定为要变更身份的使用者家目录（如不加 -u 参数就是系统管理者 root ）
三、sudo配置文件/etc/sudoers常用的一些参数说明
查看操作系统已安装sudo
# rpm -qa|grep sudo
sudo-1.8.6p3-19.el6.x86_64
#visudo //编辑该文件

## Allow root to run any commands anywhere
root ALL=(ALL) ALL

## Allows people in group wheel to run all commands
# %wheel ALL=(ALL) ALL

## Allows people in group wheel to run all commands without a password
# %wheel ALL=(ALL) NOPASSWD: ALL

## Allows members of the users group to mount and unmount the
## cdrom as root
# %users ALL=/sbin/mount /mnt/cdrom, /sbin/umount /mnt/cdrom
说明：
root ALL=(ALL) ALL
root表示被授权的用户，这里是根用户；
第一个ALL表示所有计算机；
第二个ALL表示所有用户；
第三个ALL表示所有命令；
通用格式
user host run_as command
user:一位或几位用户，在/etc/group中可以用一个%代替它，组对象的名称一定要用百分号%开头
host:一个或几个主机名
run_as:作为哪个用户运行，常见选项是root和ALL
command:想让用户或组运行的一个或几个根级别命令
如：centos ALL=(ALL) useradd,userdel
注：授权centos用户在所有计算机上以root身份运行useradd,userdel命令











注：切换用户，用sudo执行命令时必须重新输入普通用户的密码

让部分用户或者部分主机、已某些特定用户(root)，共同执行某些命令，权限配置，可利用配置别名Alias(把用户、主机、命令归类放在一起)
Alias主要分成4种 ：Host_Alias 、Cmnd_Alias 、User_Alias 、Runas_Alias
1) 配置Host_Alias：就是主机的列表
Host_Alias HOST_FLAG = hostname1, hostname2, hostname3
2) 配置Cmnd_Alias：就是允许执行的命令的列表，命令前加上!表示不能执行此命令.
注意：命令一定要使用绝对路径，避免其他目录的同名命令被执行，造成安全隐患 ,因此使用的时候也是使用绝对路径!
Cmnd_Alias COMMAND_FLAG = command1, command2, command3 ，!command4
3) 配置User_Alias：就是具有sudo权限的用户的列表
User_Alias USER_FLAG = user1, user2, user3
4) 配置Runas_Alias：就是用户以什么身份执行（例如root，或者oracle）的列表
Runas_Alias RUNAS_FLAG = operator1, operator2, operator3
5) 配置权限
配置权限的格式如下：
USER_FLAG HOST_FLAG=(RUNAS_FLAG) COMMAND_FLAG
如果不需要密码验证的话，则按照这样的格式来配置
USER_FLAG HOST_FLAG=(RUNAS_FLAG) NOPASSWD: COMMAND_FLAG
例子：让普通用户centos只能在服务器192.168.2.6；192.168.2.7上，执行root能执行命令删除、修改密码，查看服务等
############################################################################
# sudoers file.
#
# This file MUST be edited with the 'visudo' command as root.
#
# See the sudoers man page for the details on how to write a sudoers file.
#
# Host alias specification
Host_Alias EPG = 192.168.2.6, 192.168.2.7 //允许执行的主机
# User alias specification
# Cmnd alias specification
Cmnd_Alias SQUID = /opt/vtbin/squid_refresh, !/sbin/service, /bin/rm

Cmnd_Alias ADMPW = /usr/bin/passwd [A-Za-z]*, !/usr/bin/passwd, !/usr/bin/passwd root
# Defaults specification
# User privilege specification
root ALL=(ALL) ALL
centos EPG=(ALL) NOPASSWD: SQUID //root权限，不需要密码验证
centos EPG=(ALL) NOPASSWD: ADMPW
# Uncomment to allow people in group wheel to run all commands
# %wheel ALL=(ALL) ALL
# Same thing without a password
# %wheel ALL=(ALL) NOPASSWD: ALL
# Samples
# %users ALL=/sbin/mount /cdrom,/sbin/umount /cdrom
# %users localhost=/sbin/shutdown -h now
###############################################################
练习：
1、授权centos用户可以运行fdisk命令完成磁盘管理，以及使用mkfs或mke2fs实现文件系统管理；
2、授权gentoo用户可以运行逻辑卷管理的相关命令
1）.新建用户centos,gentoo密码分别为centos、gentoo



2）.修改/etc/sudoers配置文件
Cmnd_Alias SYDCMD=/sbin/fdisk,/sbin/mkfs,/sbin/mke2fs
Cmnd_Alias LVCMD=/sbin/lv*
root ALL=(ALL) ALL
centos ALL=(root) NOPASSWD: SYDCMD
gentoo ALL=(root) NOPASSWD: LVCMD






3）.验证







本文出自 “一万小时定律” 博客，请务必保留此出处http://daisywei.blog.51cto.com/7837970/1713242