su和sudo的区别4
上一篇 / 下一篇 2008-12-11 22:20:19 / 个人分类:Lunix 点滴
- 文件版本: V1.0
- 开发商: 本站原创
- 文件来源: 本地
- 界面语言: 简体中文
- 授权方式: 免费
- 运行平台: Win9X/Win2000/WinXP
4、/etc/sudoers中的授权规则
D[w@ _ z D9l,P0授权规则是分配权限的执行规则,我们前面所讲到的定义别名主要是为了更方便的授权引用别名;如果系统中只有几个用户,其实下放权限比较有限的话,可以不用定义别名,而是针对系统用户直接直接授权,所以在授权规则中别名并不是必须的;51Testing软件测试网!f |Z7B@#x
授权规则并不是无章可寻,我们只说基础一点的,比较简单的写法,如果您想详细了解授权规则写法的,请参看man sudoers
K^:fWL&T o,Q-e0授权用户 主机=命令动作51Testing软件测试网|*c9j*q'g&Z;r*M%M7h
这三个要素缺一不可,但在动作之前也可以指定切换到特定用户下,在这里指定切换的用户要用( )号括起来,如果不需要密码直接运行命令的,应该加NOPASSWD:参数,但这些可以省略;举例说明;51Testing软件测试网&Xy3n4xJK
实例一:51Testing软件测试网MWl3J+l/z-v"^v;?
beinan ALL=/bin/chown,/bin/chmod
n`L? V0如果我们在/etc/sudoers 中添加这一行,表示beinan 可以在任何可能出现的主机名的系统中,可以切换到root用户下执行 /bin/chown 和/bin/chmod 命令,通过sudo -l 来查看beinan 在这台主机上允许和禁止运行的命令;
i&VTY)E!G.n0值得注意的是,在这里省略了指定切换到哪个用户下执行/bin/shown 和/bin/chmod命令;在省略的情况下默认为是切换到root用户下执行;同时也省略了是不是需要beinan用户输入验证密码,如果省略了,默认为是需要验证密码。51Testing软件测试网 ~&f5A#Cr3g7j2`X;`!V
为了更详细的说明这些,我们可以构造一个更复杂一点的公式;51Testing软件测试网k2N:b/I!r2wq
授权用户 主机=[(切换到哪些用户或用户组)] [是否需要密码验证] 命令1,[(切换到哪些用户或用户组)] [是否需要密码验证] [命令2],[(切换到哪些用户或用户组)] [是否需要密码验证] [命令3]....
jeP"j"W$wI0注解:
;C?]f9V&C-k_0凡是[ ]中的内容,是可以省略;命令与命令之间用,号分隔;通过本文的例子,可以对照着看哪些是省略了,哪些地方需要有空格;51Testing软件测试网%K2xr\mnW5Wy
在[(切换到哪些用户或用户组)] ,如果省略,则默认为root用户;如果是ALL ,则代表能切换到所有用户;注意要切换到的目的用户必须用()号括起来,比如(ALL)、(beinan)51Testing软件测试网\E*} x2]pIx
实例二:51Testing软件测试网%N%O{6@'Fd0k
beinan ALL=(root) /bin/chown, /bin/chmod51Testing软件测试网{7|1y#Az6X-fg
如果我们把第一个实例中的那行去掉,换成这行;表示的是beinan 可以在任何可能出现的主机名的主机中,可以切换到root下执行 /bin/chown ,可以切换到任何用户招执行/bin/chmod 命令,通过sudo -l 来查看beinan 在这台主机上允许和禁止运行的命令;
U bIu,S"\w`r0实例三:51Testing软件测试网Q F|7lu$Wl{5MAU
beinan ALL=(root) NOPASSWD: /bin/chown,/bin/chmod51Testing软件测试网U"H)a+cH3lyc
如果换成这个例子呢?表示的是beinan 可以在任何可能出现的主机名的主机中,可以切换到root下执行 /bin/chown ,不需要输入beinan用户的密码;并且可以切换到任何用户下执行/bin/chmod 命令,但执行chmod时需要beinan输入自己的密码;通过sudo -l 来查看beinan 在这台主机上允许和禁止运行的命令;
r-];| L!?1G5}0关于一个命令动作是不是需要密码,我们可以发现在系统在默认的情况下是需要用户密码的,除非特加指出不需要用户需要输入自己密码,所以要在执行动作之前加入NOPASSWD: 参数;51Testing软件测试网O9O&En~
有可能有的弟兄对系统管理的命令不太懂,不知道其用法,这样就影响了他对 sudoers定义的理解,下面我们再举一个最简单,最有说服务力的例子;51Testing软件测试网V`!?m9w4P2d
实例四:
3If\;t4C0比如我们想用beinan普通用户通过more /etc/shadow文件的内容时,可能会出现下面的情况;
cY|Xc3@0[beinan@localhost ~] $ more /etc/shadow/etc/shadow: 权限不够
te(A4I5V3az9El0这时我们可以用sudo more /etc/shadow 来读取文件的内容;就就需要在/etc/soduers中给beinan授权51Testing软件测试网t-V r"rh;g9y
于是我们就可以先su 到root用户下通过visudo 来改/etc/sudoers ;(比如我们是以beinan用户登录系统的)51Testing软件测试网2Fbz'`7Nf+P`
[beinan@localhost ~] $ su
E$UgGq$Kn0Password: 注:在这里输入root密码
[{&S?%B0下面运行visodu;51Testing软件测试网-}#{U4}W0K
[root@localhost beinan]# visudo 注:运行visudo 来改 /etc/sudoers51Testing软件测试网/RIy8]&R
加入如下一行,退出保存;退出保存,在这里要会用vi,visudo也是用的vi编辑器;至于vi的用法不多说了;beinan ALL=/bin/more 表示beinan可以切换到root下执行more 来查看文件;
;L,N"xNJ;|u0退回到beinan用户下,用exit命令;
h1~n:gbgm"\01t~s)y!s"Cb"P0[root@localhost beinan]# exit
-SzW]._C$JCg*^ N0exit51Testing软件测试网-Ki*J"ZU\f#@ W0P L
[beinan@localhost ~] $51Testing软件测试网!YB&}(G"U5J7[ t
查看beinan的通过sudo能执行哪些命令?51Testing软件测试网J\ yOs}-g
[beinan@localhost ~] $ sudo -l
z$^S5EV-F3`6E0Password: 注:在这里输入beinan用户的密码51Testing软件测试网)fD'GQl7`-F
User beinan may run the following commands on this host: 注:在这里清晰的说明在本台主机上,beinan用户可以以root权限运行more ;在root权限下的more ,可以查看任何文本文件的内容的;51Testing软件测试网z+B"@Bq;gB&ZzU
(root) /bin/more
A"K5ff(d\0最后,我们看看是不是beinan用户有能力看到/etc/shadow文件的内容;51Testing软件测试网-J8f4EHMg-A"xf'^
[beinan@localhost ~] $ sudo more /etc/shadow51Testing软件测试网m'E{&q0FK9K
beinan 不但能看到 /etc/shadow文件的内容,还能看到只有root权限下才能看到的其它文件的内容,比如;51Testing软件测试网.^.yU _0B,Z(N
[beinan@localhost ~] $ sudo more /etc/gshadow
kb*V1j7@T |*\8[a0对于beinan用户查看和读取所有系统文件中,我只想把/etc/shadow 的内容可以让他查看;可以加入下面的一行;51Testing软件测试网d]a:L-[
beinan ALL=/bin/more /etc/shadow51Testing软件测试网c,]$ioj dR B
题外话:有的弟兄会说,我通过su 切换到root用户就能看到所有想看的内容了,哈哈,对啊。但咱们现在不是在讲述sudo的用法吗?如果主机上有多个用户并且不知道root用户的密码,但又想查看某些他们看不到的文件,这时就需要管理员授权了;这就是sudo的好处;
#rNF6S.V0实例五:练习用户组在/etc/sudoers中写法;51Testing软件测试网'pd'J(klV*j&?
如果用户组出现在/etc/sudoers 中,前面要加%号,比如%beinan ,中间不能有空格;%beinan ALL=/usr/sbin/*,/sbin/*51Testing软件测试网#S7D| JwYNC
如果我们在 /etc/sudoers 中加上如上一行,表示beinan用户组下的所有成员,在所有可能的出现的主机名下,都能切换到root用户下运行 /usr/sbin和/sbin目录下的所有命令;51Testing软件测试网O;amS U
实例六:练习取消某类程序的执行:
2lPWw:[/iir%`BC oW2z0取消程序某类程序的执行,要在命令动作前面加上!号; 在本例中也出现了通配符的*的用法;
%m[&Tf n0beinan ALL=/usr/sbin/*,/sbin/*,!/usr/sbin/fdisk 注:把这行规则加入到/etc/sudoers中;但您得有beinan这个用户组,并且beinan也是这个组中的才行;51Testing软件测试网#d| q#S,h1N-nw"l
本规则表示beinan用户在所有可能存在的主机名的主机上运行/usr/sbin和/sbin下所有的程序,但fdisk 程序除外;
.y ny hR0[beinan@localhost ~] $ sudo -l
mPAH[8\)~7R0Password: 注:在这里输入beinan用户的密码;
/Xqurn0
|
注:不能切换到root用户下运行fdisk 程序;51Testing软件测试网(b7a w6|f4Fct"V4J
实例七:别名的运用的实践;51Testing软件测试网[ hr3L8l}FB
假如我们就一台主机localhost,能通过hostname 来查看,我们在这里就不定义主机别名了,用ALL来匹配所有可能出现的主机名;并且有beinan、linuxsir、lanhaitun 用户;主要是通过小例子能更好理解;sudo虽然简单好用,但能把说的明白的确是件难事;最好的办法是多看例子和man soduers ;
5F9dP6Hd7C.Gl0User_Alias SYSADER=beinan,linuxsir,%beinan51Testing软件测试网BxK Dsh5k1l4jl
|
注解:51Testing软件测试网8F!f)uO*R7L5t
第一行:定义用户别名SYSADER 下有成员 beinan、linuxsir和beinan用户组下的成员,用户组前面必须加%号;
0j'm1t9n2F#X{0第二行:定义用户别名 DISKADER ,成员有lanhaitun51Testing软件测试网"Di*X@A#@e\
第三行:定义Runas用户,也就是目标用户的别名为OP,下有成员root
!Ng1A(v ~`)V ]*s3?0第四行:定义SYSCMD命令别名,成员之间用,号分隔,最后的!/usr/bin/passwd root 表示不能通过passwd 来更改root密码;
d(@-w+h'J3a0第五行:定义命令别名DSKCMD,下有成员parted和fdisk ;51Testing软件测试网"L WQZX"m"S/c0E4O9M&]
第六行:表示授权SYSADER下的所有成员,在所有可能存在的主机名的主机下运行或禁止 SYDCMD和DSKCMD下定义的命令。更为明确遥说,beinan、linuxsir和beinan用户组下的成员能以root身份运行 chown 、chmod 、adduser、passwd,但不能更改root的密码;也可以以root身份运行 parted和fdisk ,本条规则的等价规则是;51Testing软件测试网z)D9b;N'Y6v
beinan,linuxsir,%beinan ALL=/bin/chown,/bin/chmod,/usr/sbin/adduser,/usr/bin/passwd [A-Za-z]*,!/usr/bin/passwd root,/sbin/parted,/sbin/fdisk51Testing软件测试网V?k ?5u!L&|:?
第七行:表示授权DISKADER 下的所有成员,能以OP的身份,来运行 DSKCMD ,不需要密码;更为明确的说 lanhaitun 能以root身份运行 parted和fdisk 命令;其等价规则是:
sR,mj0m8{h0lanhaitun ALL=(root) /sbin/parted,/sbin/fdisk
0`(^h9EcG1[0可能有的弟兄会说我想不输入用户的密码就能切换到root并运行SYDCMD和DSKCMD 下的命令,那应该把把NOPASSWD:加在哪里为好?理解下面的例子吧,能明白的;
1sHg.n\1ZK0SYSADER ALL= NOPASSWD: SYDCMD, NOPASSWD: DSKCMD51Testing软件测试网6Ow4yH ca ?
5、/etc/sudoers中其它的未尽事项;51Testing软件测试网.eb\/\B X;qd.W8Q
在授权规则中,还有 NOEXEC:和EXEC的用法,自己查man sudoers 了解;还有关于在规则中通配符的用法,也是需要了解的。这些内容不多说了,毕竟只是一个入门性的文档。soduers配置文件要多简单就有多简单,要多难就有多难,就看自己的应用了。
O7q(D2x%m$I W*k06、sudo的用法;51Testing软件测试网*b(N,k&I_!H
我们在前面讲的/etc/sudoers 的规则写法,最终的目的是让用户通过sudo读取配置文件中的规则来实现匹配和授权,以便替换身份来进行命令操作,进而完成在其权限下不可完成的任务;
]"v(F&~.[0我们只说最简单的用法;更为详细的请参考man sudo
#A{? Qm5J0sudo [参数选项] 命令
o$B(L+do0R+bVa0-l 列出用户在主机上可用的和被禁止的命令;一般配置好/etc/sudoers后,要用这个命令来查看和测试是不是配置正确的;
z?S$fE7Vf0-v 验证用户的时间戳;如果用户运行sudo 后,输入用户的密码后,在短时间内可以不用输入口令来直接进行sudo 操作;用-v 可以跟踪最新的时间戳;
{zt V&x*F3cX0-u 指定以以某个用户执行特定操作;51Testing软件测试网K*y6zSq`q+|
-k 删除时间戳,下一个sudo 命令要求用求提供密码;
~6g+C4]}%O7wZ T0举列:51Testing软件测试网@aMt~A%Z(C_7S E
首先我们通过visudo 来改/etc/sudoers 文件,加入下面一行;
^U3T z({S_0beinan,linuxsir,%beinan ALL=/bin/chown,/bin/chmod,/usr/sbin/adduser,/usr/bin/passwd [A-Za-z]*,!/usr/bin/passwd root,/sbin/parted,/sbin/fdisk
#|'`&y*S uT2m0然后列出beinan用户在主机上通过sudo 可以切换用户所能用的命令或被禁止用的命令;51Testing软件测试网*q.cZ;FF3^(@4iud
[beinan@localhost ~] $ sudo -l 注:列出用户在主机上能通过切换用户的可用的或被禁止的命令;51Testing软件测试网Y;Y%SRWOfXQ
Password: 注:在这里输入您的用户密码;51Testing软件测试网+m H(Ru'd+R
User beinan may run the following commands on this host:51Testing软件测试网.G[ B6IHD#U R.H
(root) /bin/chown 注:可以切换到root下用chown命令;51Testing软件测试网 {M7wSX9w:y,~,L
(root) /bin/chmod 注:可以切换到root下用chmod命令;
\ p|5G$]0~0(root) /usr/sbin/adduser 注:可以切换到root下用adduser命令;51Testing软件测试网+bN7Ms-V
(root) /usr/bin/passwd [A-Za-z]* 注:可以切换到root下用 passwd 命令;
CKF^@%J4}Q W O0(root) !/usr/bin/passwd root 注:可以切换到root下,但不能执行passwd root 来更改root密码;
Qsz7VN(yhRe0(root) /sbin/parted 注:可以切换到 root下执行parted ;51Testing软件测试网~.IBZn#N%nH(_
(root) /sbin/fdisk 注:可以切换到root下执行 fdisk ;
_i&O)DZ$`/Di#{0通过上面的sudo -l 列出可用命令后,我想通过chown 命令来改变/opt目录的属主为beinan ;51Testing软件测试网?2{Y#~)l%` Y&V
[beinan@localhost ~] $ ls -ld /opt 注:查看/opt的属主;51Testing软件测试网pt#ur3zvF m
drwxr-xr-x 26 root root 4096 10月 27 10:09 /opt 注:得到的答案是归属root用户和root用户组;
jy s{x @0[beinan@localhost ~] $ sudo chown beinan:beinan /opt 注:通过chown 来改变属主为beinan用户和beinan用户组;
o;SDRHw0[beinan@localhost ~] $ ls -ld /opt 注:查看/opt属主是不是已经改变了;
5gB aHQ?{(R0drwxr-xr-x 26 beinan beinan 4096 10月 27 10:09 /opt51Testing软件测试网C~/jI O3M5O$R
我们通过上面的例子发现beinan用户能切换到root后执行改变用户口令的passwd命令;但上面的sudo -l 输出又明文写着不能更改root的口令;也就是说除了root的口令,beinan用户不能更改外,其它用户的口令都能更改。下面我们来测试;51Testing软件测试网:H4N$EYn"QvM1yk
对于一个普通用户来说,除了更改自身的口令以外,他不能更改其它用户的口令。但如果换到root身份执行命令,则可以更改其它用户的口令;
k o4W@CL:V%j0比如在系统中有linuxsir这个用户, 我们想尝试更改这个用户的口令,
$gJ` @Hk X0[beinan@localhost ~] $ passwd linuxsir 注:不通过sudo 直接运行passwd 来更改linuxsir用户的口令;
|ob9k0cJ9^0passwd: Only root can specify a user name. 注:失败,提示仅能通过 root来更改;
0Ba6n*S6d[s0[beinan@localhost ~] $ sudo passwd linuxsir 注:我们通过/etc/sudoers 的定义,让beinan切换到root下执行 passwd 命令来改变linuxsir的口令;51Testing软件测试网 Fj:q!~c@4Oe(H
Changing password for user linuxsir.
5APyYNe0New UNIX password: 注:输入新口令;51Testing软件测试网%l5V#i9u3DB
Retype new UNIX password: 注:再输入一次;
c~9pk$y+`-^5F0passwd: all authentication tokens updated successfully. 注:改变成功;51Testing软件测试网zZ$Z\F U"?G*T,Xs
TAG:
我的栏目
标题搜索
日历
|
|||||||||
日 | 一 | 二 | 三 | 四 | 五 | 六 | |||
1 | 2 | 3 | 4 | 5 | 6 | ||||
7 | 8 | 9 | 10 | 11 | 12 | 13 | |||
14 | 15 | 16 | 17 | 18 | 19 | 20 | |||
21 | 22 | 23 | 24 | 25 | 26 | 27 | |||
28 | 29 | 30 | 31 |
我的存档
数据统计
- 访问量: 224652
- 日志数: 58
- 文件数: 305
- 书签数: 21
- 建立时间: 2007-01-31
- 更新时间: 2009-07-27