Linux sudo实现授权

sudo：superuser do，实现普通用户执行root命令的授权工具。

一般用户管理系统的方式是利用su切换为超级用户。但是使用su的缺点之一在于必须要先告知超级用户的密码。

sudo使一般用户不需要知道超级用户的密码即可获得权限

#过程：
（1）超级用户授权：首先 超级用户 将普通用户的名字、可以执行的特定命令、按照哪种用户或用户组的身份执行等信息，登记在特殊的文件中（通常是/etc/sudoers），即完成对该用户的授权（此时该用户称为“sudoer”）；

（2）管理员确认用户的身份：在一般用户需要取得特殊权限时，其可在命令前加上“sudo”，此时sudo将会询问该用户自己的密码（以确认终端机前的是该用户本人），回答后系统即会将该命令的进程以超级用户的权限运行。

（3）以超级用户身份执行命令：之后的一段时间内（默认为5分钟，可在/etc/sudoers自定义），使用sudo不需要再次输入密码。

sudo的组成：

• 软件包
• 配置文件
• 授权规则配置文件

软件包：sudo

配置文件：/etc/sudo.conf  #一般不用修改

授权规则配置文件：#
    /etc/sudoers #这个文件不建议直接改，因为改错了就会影响授权x

    /etc/sudoers.d  #可以把授权文件放在这个目录下面，防止所有授权规则放在一起太臃肿

    #配置文件中支持使用通配符 glob

安全编辑授权规则文件和语法检查工具： visudo ≈ vim /etc/sudoers

    /usr/sbin/visudo  #建议这个命令来改用户的授权，在编辑的时候有语法提示功能，格式错误会提示

sudo工具授权文件的编写格式

#格式：
授权用户  登入的主机=(代表用户)   能执行的操作
user      host=(runas)           command

user: 表示给谁授权  #%group 表示对组进行授权

host: 表示在哪个主机登录 ALL表示所有主机

(runas)：表示以哪个用户的身份运行 一般是root

command: 表示能执行那些操作（命令需要写绝对路径） ALL表示所有

#其中NOPASSWD:command 表示不用验证这个用户的密码

User的形式:
username #用户名

#uid  #uid的形式

%group_name  #组的形式

%#gid  #gid的形式

host的形式:
ip或hostname  #ip地址或者主机名

network(/netmask)  #ip地址/子网掩码

command的形式:
command name #命令的名字

directory #这个目录里面的所有命令都授权

sudoedit #sudoedit是一个编辑授权配置文件的工具。表示被授权的用户可以编辑sudo的授权配置文件（/etc/sudoers）

#范例：授权tom用户具有挂载光盘的功能

tom ALL=(root) /usr/bin/mount /dev/cdrom /mnt

sudo的别名

• 用户别名
• 主机别名
• 代表者别名
• 操作别名

sudo授权的时候允许加自定义的别名

四种别名：
User_Alias #被授权的用户

Runas_Alias #代表谁

Host_Alias  #主机

Cmnd_Alias #执行的操作

#别名必须是大写字母和数字、下划线的结合

#定义别名的格式：
定义别名类型 别名的名称 = 值1，...,值n

范例

User_Alias  NETADMIN= netuser1,netuser2 #定义用户别名

Cmnd_Alias NETCMD = /usr/sbin/ip,/usr/sbin/ifcon #定义操作别名

NETADMIN ALL=（root） NETCMD

sudo命令：

sudo -i -u tom 切换身份功能和 su 相似,但不一样  #因为sudo必须提前授权,而且要输入自已的密码确认自己的身份，而su的话是需要切换者的密码。

#su switch user

sudo [-u user] COMMAND

-V 显示版本信息等配置信息

-u user 默认为root #表示代表谁执行这个操作

-l,ll 列出用户在主机上可用的和被禁止的命令

-v 再延长密码有效期限5分钟,更新时间戳

范例

#修改验证密码间隔为2分钟
[root@centos8 ~]#vim /etc/sudoers
    Defaults   env_reset , timestamp_timeout=2

#sudo -V 可以查看用户的默认时间间隔。

#ubuntu 默认用户具有sudo权限

#它是将普通用户都加到了sudo这个组里面了。

root@ubuntu1804:~# grep %sudo /etc/sudoers

%sudo ALL=(ALL:ALL) ALL #ALL:ALL 任何用户:任何组

修改ubuntu的visudo的默认编辑器

#ubuntu的visudo默认是使用nano工具打开的

export EDITOR=vim

Original: https://www.cnblogs.com/heyongshen/p/16547058.html
Author: 背对背依靠
Title: Linux sudo实现授权