1 sudo是什么
Sudo是Unix/Linux平台上的一个非常有用的工具，它允许系统管理员分配给普通用户一些合理的“权利”，让他们执行一些只有超级用户或其他特许用户才能完成的任务，比如：运行一些像mount，halt，su之类的命令，或者编辑一些系统配置文件，像/etc/mtab， /etc/samba/smb.conf等。这样以来，就不仅减少了root用户的登陆次数和管理时间，也提高了系统安全性。
2 sudo的特点
sudo设计者的宗旨是：给用户尽可能少的权限但仍允许完成他们的工作。所以，sudo有以下特点：
- sudo能够限制指定用户在指定主机上运行某些命令。
- sudo可以提供日志，忠实地记录每个用户使用sudo做了些什么，且能将日志传到中心主机或者日志服务器。
- sudo为系统管理员提供配置文件，允许系统管理员集中地管理用户的使用权限和使用的主机。它默认的存放位置是/etc/sudoers。
- sudo使用时间戳文件来完成类似“检票”的系统。当用户执行sudo并且输入密码后，用户获得了一张默认存活期为5分钟的“入场券”。
3 sudo的命令
3.1 sudo条目语法
who host=(runas) TAG:command
- who ：运行者用户名
- host:主机
- runad:以那个身份运行
- TAG:标签
- command：命令
样例：
oracle ALL=(root) NOPASSWD：/usr/sbin/useradd, PASSWD:/usr/sbin/userdel
注：上面的意思就是：oracle用户可以在任何地方以root身份无密码执行useradd有密码执行usermod。
3.2 别名（宏）
此外sudo还支持别名的定义，我们通过引用定义好的别名可以提供工作效率：
who User_Alias
which_hosts Host_Alias
runas Runas_Alias
command Cmnd_Alias
| User_Alias | Host_Alias | Runas_Alias | Cmnd_Alias |
| 用户名 | 主机名 | 用户名 | 命令路径（全路径） |
| 组名(%) | IP 地址 | 组名（%） | 目录 |
| 其他User_Alias | 网络地址 | 其他Runas_Alias | 其他Cmnd_Alias |
| 其他Host_Alias |
3.3 使用visudo编辑配置文件(/etc/sudoers)
虽然我们可以使用vim直接来编辑sudo的配置文件，但sudo提供了更加智能的编辑命令visudo，它能在编辑配置文件的同时帮我们检查语法错误，并在错误时提供快捷的返回功能，相当nice。
注意在你使用visudo命令前，你有必要设置下EDITOR=vim来替换默认的vi,可以打开的时候语法高亮，看起来起来舒服多了。
[root@centos74 ~]$ vim ~/.bash_profile #编辑profile文件 # 添加如下行 export EDITOR=vim [root@centos74 ~]$ source ~/.bash_profile # 让其立即生效
/etc/sudoers是sudo的主配置文件，如果我们想设置sudo设置，建议在/etc/sudoers.d/下面创建文件编辑。
[root@centos74 sudoers.d]$ visudo -f /etc/sudoers.d/oracle2 # 这里我给oracle2用户一些sudo权限，命令会在sudoers.d目录下创建一个文件的。这个文件名貌似使用.conf结尾貌似不可以的。
3.4 常用选项
- -l:查看当前用户可以使用的所有sudo命令
- -g:以指定组执行
- -u:以指定用户身份执行
- -K:移除时间戳文件
- -k:时间戳为元年（下次就必须输入密码）
- -v:更新时间戳，时间戳默认5分钟，五分钟到就需要再次密码，使用-v可以续5分钟。
关于时间戳这个东西。我们默认使用sudo执行命令的时候，第一次是需要输入密码的，短时间内再次执行sudo命令是不需要再次输入密码的。这个时间是有时间戳控制的。我们可以指定-k修改时间戳为元年，下次在sudo执行命令就必须输入密码。
3.5常用实例讲解
3.5.1 oracle用户可以在任何地点以任何的身份执行所有命令，等同于root。
oracle ALL=(ALL) ALL
3.5.2 oracle2用户可以在任何地点以root的身份执行命令useradd(无需密码)和usermod（需要密码).
oracle2 ALL=(root) NOPASSWD:/usr/sbin/useradd, PASSWD:/usr/sbin/userdel
这样oracle2就可以免密码useradd，有密码（密码为oracle2的自身密码）使用userdel。
使用方式如下
[oracle2@centos74 ~]$ useradd test001 # 直接使用命令是不可以的。 -bash: /usr/sbin/useradd: Permission denied [oracle2@centos74 ~]$ sudo useradd test001 # 必须加sudo [oracle2@centos74 ~]$ id test001 # 查看添加的用户信息 uid=1031(test001) gid=1032(test001) groups=1032(test001)
3.5.3 oracle3用户只能在192.168.1.120主机远程登录并以root身份执行ifconfig eth0命令。
Cmnd_Alias NETCMND = /sbin/ifconfig eth0 oracle3 192.168.1.120 = (root) NOPASSWD:NETCMND
3.5.4 oracle4用户可以执行/usr/sbin下的所有命令除了/usr/sbin/userdel
oracle4 ALL=(ALL) /usr/sbin/,!/usr/sbin/userdel
3.5.5 oracle5用户可以cat /var/log/secure*的文件
oracle5 ALL=(ALL) /bin/cat /var/log/secure*,!/bin/cat /var/log/secure* *
注意这个如果不加!后面的内容，用户可以执行如下命令cat /var/log/secure /etc/shadow 这样的命令随便查看系统的文件。很危险。
3.6 sudo的日志审计
为了能够明确的追究责任，sudo还提供了人性化的日志功能，在/var/log/secure日志文件中可以查看到，用于记录所有sudo类用户的所有动作。