Linux中sudo的用法

一、用户在/etc/sudoers文件中的写法
语法规则：
授权用户 主机=命令动作
这三个要素缺一不可，但在动作之前也可以指定切换到特定用户下，在这里指定切换的用户要用括号括起来，
如果不需要密码直接运行的命令，应该加NOPASSWD:参数，但这些可以省略；举例说明；
详细规则：
授权用户 主机=[(切换到哪个用户或用户组)] [是否需要密码验证] 命令1,[(切换到哪个用户或用户组)] [是否需要密码验证] [命令2],[(切换到哪个用户或用户组)] [是否需要密码验证] [命令3]......
注：
凡是[ ]中的内容，都可以省略；命令与命令之间用逗号分隔 
如果省略[(切换到哪个用户或用户组)] ，则默认为root用户；如果是ALL ，则表示能切换到所有用户
注意要切换到的目的用户必须用()号括起来，比如(ALL)、(linuxidc)

实例一：
linuxidc ALL=/bin/chown,/bin/chmod
如果我们在/etc/sudoers 中添加这一行，表示linuxidc这个用户可以在任何可能出现的主机名的系统中切换到root用户下执行/bin/chown和/bin/chmod 命令，通过sudo -l 来查看linuxidc 在这台主机上允许和禁止运行的命令；
值得注意的是，在这里省略了指定切换到哪个用户下执行/bin/shown 和/bin/chmod命令；在省略的情况下默认为是切换到root用户下执行；同时也省略了是不是需要linuxidc用户输入验证密码，如果省略了，默认为是需要验证密码。

实例二：
linuxidc ALL=(root) /bin/chown, /bin/chmod
如果我们把第一个实例中的那行去掉，换成这行；表示的是linuxidc可以在任何可能出现的主机名的主机中，可以切换到root下执行/bin/chown,可以切换到任何用户招执行/bin/chmod 命令，
通过sudo -l 来查看linuxidc 在这台主机上允许和禁止运行的命令；

实例三：
linuxidc ALL=(root) NOPASSWD:/bin/chown,/bin/chmod
表示的是linuxidc可以在任何主机中都可以切换到root下执行 /bin/chown，不需要输入linuxidc用户的密码；并且可以切换到任何用户下执行/bin/chmod 命令，
但执行chmod时需要linuxidc输入自己的密码；

实例四：
nobody ALL=(root) NOPASSWD:/bin/mkdir,NOPASSWD:/bin/chown
表示的是nobody用户可以在任何主机中切换到root下执行/bin/mkdir和/bin/chown命令时都不需要输入nobody用户的密码
通过sudo -l 来查看linuxidc在这台主机上允许和禁止运行的命令
系统在默认的情况下需要用户输入密码，如不需要用户输入自己密码，在执行动作之前加入NOPASSWD参数；

实例五：取消某个命令的执行要在命令前面加上!号；
linuxidc ALL=/usr/sbin/*,/sbin/*,!/usr/sbin/fdisk
本规则表示linuxidc用户在所有可能存在的主机名的主机上运行/usr/sbin和/sbin下所有的命令，但fdisk命令除外；
[linuxidc@localhost ~]＄ sudo -l
Password: 输入linuxidc用户的密码；
User linuxidc may run the following commands on this host:
(root) /usr/sbin/*
(root) /sbin/*
(root) !/sbin/fdisk
[linuxidc@localhost ~]＄ sudo /sbin/fdisk -l
Sorry, user linuxidc is not allowed to execute '/sbin/fdisk -l' as root on localhost. #不能切换到root用户下运行fdisk程序；

实例六：
比如我们想用linuxidc普通用户通过more /etc/shadow查看文件的内容时，可能会出现下面的情况；
[linuxidc@localhost ~]$ more /etc/shadow
/etc/shadow: 权限不够
这时我们可以用sudo more /etc/shadow 来读取文件的内容；这就需要在/etc/soduers中给linuxidc授权；
先su到root用户下通过visudo来改/etc/sudoers
[linuxidc@localhost ~]＄ su #切换到root用户
Password: 输入root密码
[root@localhost linuxidc]# visudo #使用visudo来修改/etc/sudoers
加入如下一行，退出保存；退出保存，在这里要会用vi，visudo也是用的vi编辑器;
linuxidc ALL=/bin/more #在最后加入此行，表示linuxidc可以切换到root下执行more来查看文件；
linuxidc ALL=/bin/more /etc/shadow #加上此行表示只允许查看/etc/shadow文件中的内容
[root@localhost linuxidc]# exit #切换到linuxidc用户下
[linuxidc@localhost ~]＄ sudo -l #查看linuxidc通过sudo能执行哪些命令
Password: 输入linuxidc用户的密码
User linuxidc may run the following commands on this host: 注：在这里清晰的说明在本台主机上，linuxidc用户可以以root权限运行more，可以查看任何文本文件的内容；
(root) /bin/more
[linuxidc@localhost ~]＄ sudo more /etc/shadow
linuxidc
[linuxidc@localhost ~]＄ sudo more /etc/gshadow #不但能看到/etc/shadow文件的内容，还能看到其它root权限文件的内容

二、用户组在/etc/sudoers文件中的写法
实例一：用户组在/etc/sudoers中写法
如果用户组出现在/etc/sudoers中，前面要加%号，比如linuxidc组写成%linuxidc，中间不能有空格；
%linuxidc ALL=/usr/sbin/*,/sbin/*
如果我们在/etc/sudoers中加上如上一行，表示linuxidc用户组下的所有成员，在所有可能的出现的主机名下，都能切换到root用户下运行/usr/sbin和/sbin目录下的所有命令；

三、别名的运用的实践；
假如我们就一台主机localhost，能通过hostname 来查看，我们在这里就不定义主机别名了，用ALL来匹配所有可能出现的主机名；并且有 linuxidc、linuxsir、lanhaitun 用户；
主要是通过小例子能更好理解；sudo虽然简单好用，但能把说的明白的确是件难事；最好的办 法是多看例子和man soduers ；
User_Alias SYSADER=linuxidc,linuxsir,%linuxidc
User_Alias DISKADER=lanhaitun
Runas_Alias OP=root
Cmnd_Alias SYDCMD=/bin/chown,/bin/chmod,/usr/sbin/adduser,/usr/bin/passwd [A-Za-z]*,!/usr/bin/passwd root
Cmnd_Alias DSKCMD=/sbin/parted,/sbin/fdisk 注：定义命令别名DSKCMD，下有成员parted和fdisk；
SYSADER ALL=SYDCMD,DSKCMD
DISKADER ALL=(OP) DSKCMD

注：
第一行：定义用户别名SYSADER 下有成员 linuxidc、linuxsir和linuxidc用户组下的成员，用户组前面必须加%号；
第二行：定义用户别名 DISKADER ，成员有lanhaitun
第三行：定义Runas用户，也就是目标用户的别名为OP，下有成员root
第四行：定义SYSCMD命令别名，成员之间用,号分隔，最后的!/usr/bin/passwd root 表示不能通过passwd 来更改root密码；
第五行：定义命令别名DSKCMD，下有成员parted和fdisk ；
第六行：表示授权SYSADER下的所有成员，在所有可能存在的主机名的主机下运行或禁止SYDCMD和DSKCMD下定义的命令。
第七行：表示授权DISKADER下的所有成员，能以OP的身份，来运行 DSKCMD ，不需要密码；更为明确的说lanhaitun能以root身份运行parted和fdisk 命令；
其等价规则是：
lanhaitun ALL=(root) /sbin/parted,/sbin/fdisk
注：linuxidc用户、linuxsir用户和linuxidc用户组下的成员能以root身份运行 chown 、chmod 、adduser、passwd，但不能更改root的密码；也可以以root身份运行parted和fdisk ，
本条规则的等价规则是:
linuxidc,linuxsir,%linuxidc ALL=/bin/chown,/bin/chmod,/usr/sbin/adduser,/usr/bin/passwd [A-Za-z]*,!/usr/bin/passwd root,/sbin/parted,/sbin/fdisk

四、sudo的用法
我们在前面讲的/etc/sudoers 的规则写法，最终的目的是让用户通过sudo读取配置文件中的规则来实现匹配和授权，以便替换身份来进行命令操作，进而完成在其权限下不可完成的任务；
我们只说最简单的用法；更为详细的请参考man sudo
sudo [参数选项] 命令
-l 列出用户在主机上可用的和被禁止的命令；一般配置好/etc/sudoers后，要用这个命令来查看和测试是不是配置正确的；
-v 验证用户的时间戳；如果用户运行sudo 后，输入用户的密码后，在短时间内可以不用输入口令来直接进行sudo 操作；用-v 可以跟踪最新的时间戳；
-u 指定以以某个用户执行特定操作；
-k 删除时间戳，下一个sudo 命令要求用求提供密码；

举列：
首先我们通过visudo 来改/etc/sudoers 文件，加入下面一行；
linuxidc,linuxsir,%linuxidc ALL=/bin/chown,/bin/chmod,/usr/sbin/adduser,/usr/bin/passwd [A-Za-z]*,!/usr/bin/passwd root,/sbin/parted,/sbin/fdisk
然后列出linuxidc用户在主机上通过sudo 可以切换用户所能用的命令或被禁止用的命令；
[linuxidc@localhost ~]＄ sudo -l 注：列出用户在主机上能通过切换用户的可用的或被禁止的命令；
Password: 输入您的用户密码；
User linuxidc may run the following commands on this host:
(root) /bin/chown 注：可以切换到root下用chown命令；
(root) /bin/chmod 注：可以切换到root下用chmod命令；
(root) /usr/sbin/adduser 注：可以切换到root下用adduser命令；
(root) /usr/bin/passwd [A-Za-z]* 注：可以切换到root下用 passwd 命令；
(root) !/usr/bin/passwd root 注：可以切换到root下，但不能执行passwd root 来更改root密码；
(root) /sbin/parted 注：可以切换到 root下执行parted ；
(root) /sbin/fdisk 注：可以切换到root下执行 fdisk ；

通过上面的sudo -l 列出可用命令后，我想通过chown 命令来改变/opt目录的属主为linuxidc ；
[beinan@localhost ~]＄ ls -ld /opt 注：查看/opt的属主；
drwxr-xr-x 26 root root 4096 10月 27 10:09 /opt 注：得到的答案是归属root用户和root用户组；
[linuxidc@localhost ~]＄ sudo chown linuxidc:beinan /opt 注：通过chown 来改变属主为linuxidc用户和beinan用户组；
[linuxidc@localhost ~]＄ ls -ld /opt 注：查看/opt属主是不是已经改变了；
drwxr-xr-x 26 linuxidc beinan 4096 10月 27 10:09 /opt
我们通过上面的例子发现linuxidc用户能切换到root后执行改变用户口令的passwd命令；但上面的sudo -l 输出又明文写着不能更改root的口令；也就是说除了root的口令，linuxidc用户不能更改外，其它用户的口令都能更改。下面我们来测试；
对于一个普通用户来说，除了更改自身的口令以外，他不能更改其它用户的口令。但如果换到root身份执行命令，则可以更改其它用户的口令；
比如在系统中有linuxsir这个用户, 我们想尝试更改这个用户的口令，
[linuxidc@localhost ~]＄ passwd linuxsir 注：不通过sudo 直接运行passwd 来更改linuxsir用户的口令；
passwd: Only root can specify a user name. 注：失败，提示仅能通过 root来更改；
[linuxidc@localhost ~]＄ sudo passwd linuxsir 注：我们通过/etc/sudoers 的定义，让linuxidc切换到root下执行 passwd 命令来改变linuxsir的口令；
Changing password for user linuxsir.
New UNIX password: 注：输入新口令；
Retype new UNIX password: 注：再输入一次；
passwd: all authentication tokens updated successfully. 注：改变成功；

附：
visudo 必须在root环境下运行。
在用命令"su"的时候没有把root的环境变量传过去，还是当前用乎的环境变量，应该施用"su -"命令将环境变量也一起带过去，就象和root登录一样，这样才能使用visudo命令。
环境变量的问题吧，你可以运行几个命令比较一下：
＃在你的用户下
$ env >; my.env
$ su
#env >; my_root.env
# su - root
#env >; root.env
your_user_name ALL=(ALL) #加入sudo组
your_user_name ALL=(ALL)NOPASSWD: ALL #加入sudo组且不用输入密码

五、/etc/sudoers中其它的事项
在授权规则中，还有 NOEXEC:和EXEC的用法，自己查man sudoers 了解；还有关于在规则中通配符的用法，也是需要了解的。