二. sudo授权许可使用的su，也是受限制的su
l)Q^ A7E
?-h3{,Z0 1. sudo的适用条件
:d/d B { ^
l+P0 由于su对切换到超级权限用户root后，权限的无限制性，所以su并不能担任多个管理员所管理的系统。如果用su来切换到超级用户来管理系统，也不能明确哪些工作是由哪个管理员进行的操作。特别是对于服务器的管理有多人参与管理时，最好是针对每个管理员的技术特长和管理范围，并且有针对性的下放给权限，并且约定其使用哪些工具来完成与其相关的工作，这时我们就有必要用到sudo。51Testing软件测试网 CB6W:^ Z&p
通过sudo，我们能把某些超级权限有针对性的下放，并且不需要普通用户知道root密码，所以sudo相对于权限无限制性的su来说，还是比较安全的，所以sudo也能被称为受限制的su；另外sudo是需要授权许可的，所以也被称为授权许可的su；
a:{fu szn0 sudo执行命令的流程是当前用户切换到root（或其它指定切换到的用户），然后以root（或其它指定的切换到的用户）身份执行命令，执行完成后，直接退回到当前用户；而这些的前提是要通过sudo的配置文件/etc/sudoers来进行授权；51Testing软件测试网G G7b'^ UB
2、从编写sudo配置文件/etc/sudoers开始51Testing软件测试网"G7s A)e w+^"`s'A
sudo的配置文件是/etc/sudoers，我们可以用他的专用编辑工具visodu，此工具的好处是在添加规则不太准确时，保存退出时会提示给我们错误信息；配置好后，可以用切换到您授权的用户下，通过sudo -l来查看哪些命令是可以执行或禁止的；
$K#MIOuo6N0 /etc/sudoers文件中每行算一个规则，前面带有#号可以当作是说明的内容，并不执行；如果规则很长，一行列不下时，可以用号来续行，这样看来一个规则也可以拥有多个行；51Testing软件测试网@8j"oK)a8[3E`
/etc/sudoers的规则可分为两类；一类是别名定义，另一类是授权规则；别名定义并不是必须的，但授权规则是必须的；51Testing软件测试网p T5J{;Pxe!~/\G
3、/etc/sudoers配置文件中别名规则51Testing软件测试网D:?+E L&_H6F"a
;J!`d&f+[ j [pO0 别名规则定义格式如下：51Testing软件测试网 ?+AQ)@R2i'|4H
Alias_Type NAME = item1, item2, ...51Testing软件测试网 R9[]Y%^
或
V I\4R
r"K6E0 Alias_Type NAME = item1, item2, item3 : NAME = item4, item5
z
y9g!e UL;@ q0 别名类型（Alias_Type）：别名类型包括如下四种
"TPZ)j1]!^0 Host_Alias定义主机别名；51Testing软件测试网g'C/~e0i&D D.C
User_Alias用户别名，别名成员可以是用户，用户组（前面要加%号）51Testing软件测试网"ky+V0F[A3O2Y
Runas_Alias用来定义runas别名，这个别名指定的是“目的用户”，即sudo允许切换至的用户；
6S{:^XZ7D0 Cmnd_Alias定义命令别名；51Testing软件测试网-ut*Ji5D
NAME就是别名了，NMAE的命名是包含大写字母、下划线以及数字，但必须以一个大写字母开头，比如SYNADM、SYN_ADM或SYNAD0是合法的，sYNAMDA或1SYNAD是不合法的；
A!b,rBFh0S0 item按中文翻译是项目，在这里我们可以译成成员，如果一个别名下有多个成员，成员与成员之间，通过半角,号分隔；成员在必须是有效并事实存在的。什么是有效的呢？比如主机名，可以通过w查看用户的主机名（或ip地址），如果您只是本地机操作，只通过hostname命令就能查看；用户名当然是在系统中存在的，在/etc/paswd中必须存在；对于定义命令别名，成员也必须在系统中事实存在的文件名（需要绝对路径）；51Testing软件测试网$[ o0W7? f%C%d PN*C
item成员受别名类型Host_Alias、User_Alias、Runas_Alias、Cmnd_Alias制约，定义什么类型的别名，就要有什么类型的成员相配。我们用Host_Alias定义主机别名时，成员必须是与主机相关相关联，比如是主机名（包括远程登录的主机名）、ip地址（单个或整段）、掩码等；当用户登录时，可以通过w命令来查看登录用户主机信息；用User_Alias和Runas_Alias定义时，必须要用系统用户做为成员；用Cmnd_Alias定义执行命令的别名时，必须是系统存在的文件，文件名可以用通配符表示，配置Cmnd_Alias时命令需要绝对路径；其中Runas_Alias和User_Alias有点相似，但与User_Alias绝对不是同一个概念，Runas_Alias定义的是某个系统用户可以sudo切换身份到Runas_Alias下的成员；我们在授权规则中以实例进行解说；别名规则是每行算一个规则，如果一个别名规则一行容不下时，可以通过来续行；同一类型别名的定义，一次也可以定义几个别名，他们中间用:号分隔，51Testing软件测试网f ?F1Ft/s1D'E.m S
Host_Alias HT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24注：定义主机别名HT01，通过=号列出成员
Sf3R:W
Gp0
aW2{)kM1G(Z
}0 Host_Alias HT02=st09,st10注：主机别名HT02，有两个成员；
`0K)t)D
pI-if0 Host_Alias HT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24:HT02=st09,st10注：上面的两条对主机的定义，可以通过一条来实现，别名之间用:号分割；
S9U,Myw0 注：我们通过Host_Alias定义主机别名时，项目可以是主机名、可以是单个ip（整段ip地址也可以），也可以是网络掩码；如果是主机名，必须是多台机器的网络中，而且这些机器得能通过主机名相互通信访问才有效。那什么才算是通过主机名相互通信或访问呢？比如ping主机名，或通过远程访问主机名来访问。在我们局域网中，如果让计算机通过主机名访问通信，必须设置/etc/hosts，/etc/resolv.conf，还要有DNS做解析，否则相互之间无法通过主机名访问；在设置主机别名时，如果项目是中某个项目是主机名的话，可以通过hostname命令来查看本地主机的主机名，通过w命令查来看登录主机是来源，通过来源来确认其它客户机的主机名或ip地址；对于主机别名的定义，看上去有点复杂，其实是很简单。
Pv&C#I;F2x ]0 如果您不明白Host_Alias是怎么回事，也可以不用设置主机别名，在定义授权规则时通过ALL来匹配所有可能出现的主机情况。如果您把主机方面的知识弄的更明白，的确需要多多学习。51Testing软件测试网8^N
R L8y$_
User_Alias SYSAD=beinan,linuxsir,bnnnb,lanhaitun注：定义用户别名，下有四个成员；要在系统中确实在存在的；
(E y2~5Z;} \ l0 User_Alias NETAD=beinan,bnnb注：定义用户别名NETAD，我想让这个别名下的用户来管理网络，所以取了NETAD的别名；
%b tL5d i0 User_Alias WEBMASTER=linuxsir注：定义用户别名WEBMASTER，我想用这个别名下的用户来管理网站；51Testing软件测试网X;K7@ r W
\x;Ui
User_Alias SYSAD=beinan,linuxsir,bnnnb,lanhaitun:NETAD=beinan,bnnb:WEBMASTER=linuxsir注：上面三行的别名定义，可以通过这一行来实现，请看前面的说明，是不是符合？
7PO,e_7yM051Testing软件测试网-\ wI{e2Lj(W,s;o
Cmnd_Alias USERMAG=/usr/sbin/adduser,/usr/sbin/userdel,/usr/bin/passwd [A-Za-z]*,/bin/chown,/bin/chmod51Testing软件测试网qvm7tDi.k
注意：命令别名下的成员必须是文件或目录的绝对路径；
VQ U/}M
M
N0 Cmnd_Alias DISKMAG=/sbin/fdisk,/sbin/partedCmnd_Alias NETMAG=/sbin/ifconfig,/etc/init.d/networkCmnd_Alias KILL = /usr/bin/killCmnd_Alias PWMAG = /usr/sbin/reboot,/usr/sbin/haltCmnd_Alias SHELLS = /usr/bin/sh, /usr/bin/csh, /usr/bin/ksh, /usr/local/bin/tcsh, /usr/bin/rsh, /usr/local/bin/zsh51Testing软件测试网 nP~(f+m
注：这行定义命令别名有点长，可以通过号断行；
yEuTsc?\0 Cmnd_Alias SU = /usr/bin/su,/bin,/sbin,/usr/sbin,/usr/bin
P4O%v4f bz!x]:g%qN0 在上面的例子中，有KILL和PWMAG的命令别名定义，我们可以合并为一行来写，也就是等价行；
'S~Rw#`MYm,|4V0 Cmnd_Alias KILL = /usr/bin/kill:PWMAG = /usr/sbin/reboot,/usr/sbin/halt注：这一行就代表了KILL和PWMAG命令别名，把KILL和PWMAG的别名定义合并在一行写也是可以的；
p f3x,pP Hxh0 Runas_Alias ōP = root, operator
C
GK1U ?5aB!Kx;h0 Runas_Alias DBADM=mysql:OP = root, operator注：这行是上面两行的等价行；至于怎么理解Runas_Alias，我们必须得通过授权规则的实例来理解。
