Linux sudo命令學習

sudo是linux系統管理指令，是允許系統管理員讓普通使用者執行一些或者全部的root命令的一個工具，如halt，reboot，su等等。這樣不僅減少了root使用者的登陸 和行政時間，同樣也提高了安全性。Sudo不是對shell的一個代替，它是面向每個命令的。

概述

它的特性主要有這樣幾點：

Sudo能夠限制使用者只在某台主機上運行某些命令。

Sudo提供了豐富的日誌，詳細地記錄了每個使用者幹了什麼。它能夠將日誌傳到中心主機或者Log Service器。

Sudo使用時間戳檔案來執行類似的“檢票”系統。當使用者調用sudo並且輸入它的密碼時，使用者獲得了一張存活期為5分鐘的票（這個值可以在編譯的時候改變,也可以使用sudo -k,讓其立即失效,即再次執行命令的時候,不到5分鐘也會要求輸入密碼）。

Sudo的設定檔是sudoers檔案，它允許系統管理員集中的系統管理使用者的使用許可權和使用的主機。它所存放的位置預設是在/etc/sudoers，屬性必須為0411。

配置

編輯設定檔命令:visudo

預設設定檔位置:/etc/sudoers

可以用visudo編輯sudoers設定檔，不過也可以直接通過修改sudoers檔案實現，不過編輯之前最好看一下它的sample.sudoers檔案，裡面有一個相當詳細的例子可以參考。

#第一部分：使用者定義，將使用者分為FULLTIMERS、PARTTIMERS和WEBMASTERS三類。

User_Alias FULLTIMERS = millert, mikef, dowdy

User_Alias PARTTIMERS = bostley, jwfox, crawl

User_Alias WEBMASTERS = will, wendy, wim

#第二部分，將操作類型分類。

Runas_Alias OP = root, operator

Runas_Alias DB = oracle, sybase

#第三部分，將主機分類。這些都是隨便分得，目的是為了更好地管理。

Host_Alias SPARC = bigtime, eclipse, moet, anchor :\

SGI = grolsch, dandelion, black :\

ALPHA = widget, thalamus, foobar :\

HPPA = boa, nag, python

Host_Alias CUNETS = 128.138.0.0/255.255.0.0

Host_Alias CSNETS = 128.138.243.0, 128.138.204.0/24, 128.138.242.0

Host_Alias SERVERS = master, mail, www, ns

Host_Alias CDROM = orion, perseus, hercules

#第四部分，定義命令和命令地路徑。命令一定要使用絕對路徑，避免其他目錄的同名命令被執行，造成安全隱患 ,因此使用的時候也是使用絕對路徑!

Cmnd_Alias DUMPS = /usr/bin/mt, /usr/sbin/dump, /usr/sbin/rdump,\

/usr/sbin/restore, /usr/sbin/rrestore

Cmnd_Alias KILL = /usr/bin/kill

Cmnd_Alias PRINTING = /usr/sbin/lpc, /usr/bin/lprm

Cmnd_Alias SHUTDOWN = /usr/sbin/shutdown

Cmnd_Alias HALT = /usr/sbin/halt, /usr/sbin/fasthalt

Cmnd_Alias REBOOT = /usr/sbin/reboot, /usr/sbin/fastboot

Cmnd_Alias SHELLS = /usr/bin/sh, /usr/bin/csh, /usr/bin/ksh, \

/usr/local/bin/tcsh, /usr/bin/rsh, \

/usr/local/bin/zsh

Cmnd_Alias SU = /usr/bin/su

# 這裡是針對不同的使用者採用不同地策略，比如預設所有的syslog直接通過auth 輸出。FULLTIMERS組不用看到lecture（第一次運行時產生的訊息）；使用者millert使用sudo時不用輸入密碼；以及logfile的 路徑在/var/log/sudo.log而且每一行日誌中必須包括年。

Defaults syslog=auth

Defaults:FULLTIMERS !lecture

Defaults:millert !authenticate

Defaults@SERVERS log_year, logfile=/var/log/sudo.log

#root和wheel組的成員擁有任何權利。 如果想對一組使用者進行定義，可以在組名前加上%，對其進行設定.

root ALL = (ALL) ALL

%wheel ALL = (ALL) ALL

#FULLTIMERS可以運行任何命令在任何主機而不用輸入自己的密碼

FULLTIMERS ALL = NOPASSWD: ALL

#PARTTIMERS可以運行任何命令在任何主機，但是必須先驗證自己的密碼。

PARTTIMERS ALL = ALL

#jack可以運行任何命令在定義地CSNET（128.138.243.0, 128.138.242.0和128.138.204.0/24的子網）中，不過注意前兩個不需要匹配子網路遮罩，而後一個必須匹配掩碼。

jack CSNETS = ALL

#lisa可以運行任何命令在定義為CUNETS（128.138.0.0）的子網中主機上。

lisa CUNETS = ALL

#使用者operator可以運行DUMPS,KILL,PRINTING,SHUTDOWN,HALT,REBOOT以及在/usr/oper/bin中的所有命令。

operator ALL = DUMPS, KILL, PRINTING, SHUTDOWN, HALT, REBOOT,\

/usr/oper/bin/

#joe可以運行su operator命令

joe ALL = /usr/bin/su operator

#pete可以為除root之外地使用者修改密碼。

pete HPPA = /usr/bin/passwd [A-z]*, !/usr/bin/passwd root

#bob可以在SPARC和SGI機器上和OP使用者組中的root和operator一樣運行如何命令。

bob SPARC = (OP) ALL : SGI = (OP) ALL

#jim可以運行任何命令在biglab網路組中。Sudo預設“+”是一個網路組地首碼。