前言

在Linux和其他類Unix操作系統(tǒng)中，只有root用戶可以運(yùn)行所有命令并在系統(tǒng)上執(zhí)行某些關(guān)鍵操作，如安裝和更新，刪除包，創(chuàng)建用戶和組，修改重要的系統(tǒng)配置文件等。

然而，承擔(dān)root用戶角色的系統(tǒng)管理員可以允許其他正常系統(tǒng)用戶在sudo命令和幾個(gè)配置的幫助下運(yùn)行某些命令以及執(zhí)行包括上述的一些重要系統(tǒng)操作。

sudo 表示 “superuser do”。 它允許已驗(yàn)證的用戶以其他用戶的身份來運(yùn)行命令。其他用戶可以是普通用戶或者超級(jí)用戶。然而，大部分時(shí)候我們用它來以提升的權(quán)限來運(yùn)行命令。

sudo 命令與安全策略配合使用，默認(rèn)安全策略是 sudoers，可以通過文件 /etc/sudoers 來配置。其安全策略具有高度可拓展性。人們可以開發(fā)和分發(fā)他們自己的安全策略作為插件。

與 su 的區(qū)別

在 GNU/Linux 中，有兩種方式可以用提升的權(quán)限來運(yùn)行命令：

• 使用 su 命令
• 使用 sudo 命令

su 表示 “switch user”。使用 su，我們可以切換到 root 用戶并且執(zhí)行命令。但是這種方式存在一些缺點(diǎn)：

• 我們需要與他人共享 root 的密碼。
• 因?yàn)?root 用戶為超級(jí)用戶，我們不能授予受控的訪問權(quán)限。
• 我們無法審查用戶在做什么。

sudo 以獨(dú)特的方式解決了這些問題。

1. 首先，我們不需要妥協(xié)來分享 root 用戶的密碼。普通用戶使用他們自己的密碼就可以用提升的權(quán)限來執(zhí)行命令。
2. 我們可以控制 sudo 用戶的訪問，這意味著我們可以限制用戶只執(zhí)行某些命令。
3. 除此之外，sudo 用戶的所有活動(dòng)都會(huì)被記錄下來，因此我們可以隨時(shí)審查進(jìn)行了哪些操作。在基于 Debian 的 GNU/Linux 中，所有活動(dòng)都記錄在 /var/log/auth.log 文件中。

本教程后面的部分闡述了這些要點(diǎn)。

實(shí)際動(dòng)手操作 sudo

現(xiàn)在，我們對(duì) sudo 有了大致的了解。讓我們實(shí)際動(dòng)手操作吧。為了演示，我使用 Ubuntu。但是，其它發(fā)行版本的操作應(yīng)該是相同的。

允許 sudo 權(quán)限

讓我們添加普通用戶為 sudo 用戶吧。在我的情形中，用戶名為 linuxtechi。

1.按如下所示編輯 /etc/sudoers 文件：

$ sudo visudo

2.添加以下行來允許用戶 linuxtechi 有 sudo 權(quán)限：

linuxtechi ALL=(ALL) ALL

上述命令中：

• linuxtechi 表示用戶名
• 第一個(gè) ALL 指示允許從任何終端、機(jī)器訪問 sudo
• 第二個(gè) (ALL) 指示 sudo 命令被允許以任何用戶身份執(zhí)行
• 第三個(gè) ALL 表示所有命令都可以作為 root 執(zhí)行

以提升的權(quán)限執(zhí)行命令

要用提升的權(quán)限執(zhí)行命令，只需要在命令前加上 sudo，如下所示：

$ sudo cat /etc/passwd

當(dāng)你執(zhí)行這個(gè)命令時(shí)，它會(huì)詢問 linuxtechi 的密碼，而不是 root 用戶的密碼。

以其他用戶執(zhí)行命令

除此之外，我們可以使用 sudo 以另一個(gè)用戶身份執(zhí)行命令。例如，在下面的命令中，用戶 linuxtechi 以用戶 devesh 的身份執(zhí)行命令：

$ sudo -u devesh whoami
[sudo] password for linuxtechi:
devesh

內(nèi)置命令行為

sudo 的一個(gè)限制是 —— 它無法使用 Shell 的內(nèi)置命令。例如， history 記錄是內(nèi)置命令，如果你試圖用 sudo 執(zhí)行這個(gè)命令，那么會(huì)提示如下的未找到命令的錯(cuò)誤：

$ sudo history
[sudo] password for linuxtechi:
sudo: history: command not found

訪問 root shell

為了克服上述問題，我們可以訪問 root shell，并在那里執(zhí)行任何命令，包括 Shell 的內(nèi)置命令。

要訪問 root shell, 執(zhí)行下面的命令:

$ sudo bash

執(zhí)行完這個(gè)命令后——您將觀察到提示符變?yōu)榫?hào)（#）。

技巧

這節(jié)我們將討論一些有用的技巧，這將有助于提高生產(chǎn)力。大多數(shù)命令可用于完成日常任務(wù)。

以 sudo 用戶執(zhí)行之前的命令

讓我們假設(shè)你想用提升的權(quán)限執(zhí)行之前的命令，那么下面的技巧將會(huì)很有用：

$ sudo !4

上面的命令將使用提升的權(quán)限執(zhí)行歷史記錄中的第 4 條命令。

在 Vim 里面使用 sudo 命令

很多時(shí)候，我們編輯系統(tǒng)的配置文件時(shí)，在保存時(shí)才意識(shí)到我們需要 root 訪問權(quán)限來執(zhí)行此操作。因?yàn)檫@個(gè)可能讓我們丟失我們對(duì)文件的改動(dòng)。沒有必要驚慌，我們可以在 Vim 中使用下面的命令來解決這種情況：

:w !sudo tee %

上述命令中：

• 冒號(hào) (:) 表明我們處于 Vim 的退出模式
• 感嘆號(hào) (!) 表明我們正在運(yùn)行 shell 命令
• sudo 和 tee 都是 shell 命令
• 百分號(hào) (%) 表明從當(dāng)前行開始的所有行

使用 sudo 執(zhí)行多個(gè)命令

至今我們用 sudo 只執(zhí)行了單個(gè)命令，但我們可以用它執(zhí)行多個(gè)命令。只需要用分號(hào) (;) 隔開命令，如下所示：

$ sudo -- bash -c 'pwd; hostname; whoami'

上述命令中

• 雙連字符 (--) 停止命令行切換
• bash 表示要用于執(zhí)行命令的 shell 名稱
• -c 選項(xiàng)后面跟著要執(zhí)行的命令

無密碼運(yùn)行 sudo 命令

當(dāng)?shù)谝淮螆?zhí)行 sudo 命令時(shí)，它會(huì)提示輸入密碼，默認(rèn)情形下密碼被緩存 15 分鐘。但是，我們可以避免這個(gè)操作，并使用 NOPASSWD 關(guān)鍵字禁用密碼認(rèn)證，如下所示：

linuxtechi ALL=(ALL) NOPASSWD: ALL

限制用戶執(zhí)行某些命令

為了提供受控訪問，我們可以限制 sudo 用戶只執(zhí)行某些命令。例如，下面的行只允許執(zhí)行 echo 和 ls 命令 。

linuxtechi ALL=(ALL) NOPASSWD: /bin/echo /bin/ls

深入了解 sudo

讓我們進(jìn)一步深入了解 sudo 命令。

$ ls -l /usr/bin/sudo
-rwsr-xr-x 1 root root 145040 Jun 13 2017 /usr/bin/sudo

如果仔細(xì)觀察文件權(quán)限，則發(fā)現(xiàn) sudo 上啟用了 setuid 位。當(dāng)任何用戶運(yùn)行這個(gè)二進(jìn)制文件時(shí)，它將以擁有該文件的用戶權(quán)限運(yùn)行。在所示情形下，它是 root 用戶。

為了演示這一點(diǎn)，我們可以使用 id 命令，如下所示：

$ id
uid=1002(linuxtechi) gid=1002(linuxtechi) groups=1002(linuxtechi)

當(dāng)我們不使用 sudo 執(zhí)行 id 命令時(shí)，將顯示用戶 linuxtechi 的 id。

$ sudo id
uid=0(root) gid=0(root) groups=0(root)

但是，如果我們使用 sudo 執(zhí)行 id 命令時(shí)，則會(huì)顯示 root 用戶的 id。

結(jié)論

從這篇文章可以看出 —— sudo 為普通用戶提供了更多受控訪問。使用這些技術(shù)，多用戶可以用安全的方式與 GNU/Linux 進(jìn)行交互。

好了，以上就是這篇文章的全部?jī)?nèi)容了，希望本文的內(nèi)容對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，如果有疑問大家可以留言交流，謝謝大家對(duì)腳本之家的支持。

最新評(píng)論