linux sudo用法

 一种约束用户执行系统管理命令方面的安全机制，允许指定的用户以root身份执行指定的命令而不需要提供root密码。用过Ubuntu（Debian系）的小伙伴很有发言权。

当用户要执行比如systemctl stop httpd时，如果该用户不被允许使用systemctl stop命令，则命令无法运行，从而实现只允许指定用户（信任的小伙伴）才可运行相关系统、服务管理方面的命令；如果用户被允许使用该命令，sudo机制也会提醒用户输入其账号密码，从而存在一个缓冲的时间，可以让命令执行者脑袋清醒一下，确认无误后敲下回车。

Sudo应该是Switch User Do的简写（尚未考证），简单粗暴的翻译就是“切换用户干”，当指定sudo systemctl stop httpd命令时，事实上是以root用户的身份运行的。下面以Redha系CentOS7.6来介绍一下sudo的使用，通过visudo直接回车可看到：

图中可以看出默认有8个命令别名，每一个别名分别对应一些命令，比如PROCESS，是nice、kill、killall三个命令的别名。之所以要有别名，是因为将命令分门别类后便于后面的引用。

看懂语法，基本就可以搞定了。每个框框中注释部分说的很清楚。比如“%wheel   ALL=(LL) NOPASSWD:ALL”表示wheel这个群组中的用户可以在任何主机上执行任何命令且不需要输入密码。

用户名：ds 

群组：   testgroup

要求：只允许testgroup群组用户执行跟networking相关的命令

步骤：

1、 [endif]命令行中输入visudo回车—编辑/etc/sudoers文件

2、 [endif]去掉“Cmnd_Alias NETWORKING…“一行的的注释

3、 加入下面一行

4、 测试

可以看到ds用户执行ping是可以的，但是执行kill命令就不行了，即使使用sudo尝试使用root身份执行也不行：

通过/var/log/secure日志文件可以看的更详细：

常用实例讲解

1 .oracle用户可以在任何地点以任何的身份执行所有命令，等同于root。

oracle ALL=(ALL)ALL

2. oracle2用户可以在任何地点以root的身份执行命令useradd(无需密码)和usermod（需要密码).

这样oracle2就可以免密码useradd，有密码（密码为oracle2的自身密码）使用userdel。

oracle2 ALL=(root) NOPASSWD:/usr/sbin/useradd, PASSWD:/usr/sbin/userdel

使用方式如下

[oracle2@centos74 ~]$ useradd test001 # 直接使用命令是不可以的。

-bash: /usr/sbin/useradd: Permission denied

[oracle2@centos74 ~]$ sudo useradd test001                          # 必须加sudo

[oracle2@centos74 ~]$ id test001                                    # 查看添加的用户信息

uid=1031(test001) gid=1032(test001) groups=1032(test001)

3. oracle3用户只能在192.168.1.120主机远程登录并以root身份执行ifconfig eth0命令。

Cmnd_Alias NETCMND = /sbin/ifconfig eth0

oracle3 192.168.1.120 = (root) NOPASSWD:NETCMND

4. oracle4用户可以执行/usr/sbin下的所有命令除了/usr/sbin/userdel

oracle4 ALL=(ALL) /usr/sbin/,!/usr/sbin/userdel

5. oracle5用户可以cat /var/log/secure*的文件

oracle5 ALL=(ALL) /bin/cat /var/log/secure*,!/bin/cat /var/log/secure* *

su和sudo这两个命令是Linux运维必须要会的，通常在生产环境中都是使用普通帐号来登录，再使用su或sudo来执行一些管理命令。

su：run a shell with substitute user and group ids

-,-l,--login 切换后使用指定用户的的shell。

-c,--command=COMMAND 可以在不切换当前shell的情况下，用指定的用户来执行一个命令；

如果在su的时候没有加”-“或“-l”或“--login”那么默认的会使用 当前用户 的shell来执行 ；

sudo的配置文件是： /etc/sudoers ，该文件可以定义哪个用户可以在哪个机器上以哪个用户的身份来执行哪些命令；

在配置sudo时必须使用 visudo 来编辑配置文件，因为使用visudo可以检查修改后的文件的语法是否正确；

可以将上面的配置行分成四部分：part1 part2 part3 part4

例如：

那么如果用户的数量过多的时候是不是要为每个用户来创建一个条目呢，很显示这样做是不科学的。所以sudo就引入了别名的概念，其实和组也差不多；

alias定义的语法：

要注意的是，这个Alias的名称一定要大写；

user1是一个用户，user2是一个组，所以user2的前面要加上%

可以使用主机名，IP地址，网段(网段的掩码可以写成255.255.255.0，也可以写成/24)

命令必须使用绝对路径。如果只指定了一个目录，那么用户就可以执行该目录下的所有的文件；上面的“=”右边的都可以使用“！”来取反。表示除了xxx以外；

例子 ：请允许user1,user2,user3在192.168.20.44和192.168.10.0/24网段的机器上使用sudo切换到root用户来执行useradd和setup命令；

然后就可以使用user1,user2,user3这三个用户去测试了；

注意：当用户第一次执行sudo命令的时候是需要用户输入自己的密码的。当第一次输入正确后，这个密码就会被缓存5分钟，在5分钟内用户再次使用sudo来切换身份执行命令的时候就不需要再次输入自己的密码。

这样呢有些时候会有一个安全隐患，所以为了去掉这个5分钟，可以在使用sudo命令的时候加上“-k”参数，这样用户在每次执行sudo命令的时候都会让用户输入自己的密码。

如果想让某个用户在执行sudo的时候不需要输入自己的密码，那么可以在命令的前面添加NOPASSWD。/etc/sudoers的内容如下：

这样的话，user1,user2,user3这三个用户在执行指定的命令的时候就不需要输入自己的密码了。

如果其中的命令有的需要输入密码，有的不需要输入密码的话，那就把PASSWD:写在那些命令的前面。或是把NOPASSWD:写在最后一个命令中；

例子：让用户user4使用passwd来管理用户的密码，但是不能给root用户设置密码：

注意：如果最后不加上!/usr/bin/passwd root的话，那么会有很大的漏洞，user4可以修改root用户的密码；当添加上后，user4再次执行sudo passwd root的时候就会提示：

为普通用户赋予sudo权限（linux)sudo是linux下常用的允许普通用户使用超级用户权限的工具。在需要超级用户权限时前面加上sudo，比如：sudo vim /xxxxxxxxxx，然后系统提示输入密码，正确后就可以像root一样编辑了，这样做的好处是比较安全。下面介绍如何配置sudoers：sudo功能的配置文件一般在这里：/etc/sudoers，可以使用visudo编辑，好处是如果规则写的不符合要求能提示你，坏处是调出的是 nano编辑器，甚为不顺手。而且/etc/sudoers的配置文件的注释里也说明了，不建议直接修改/etc/sudoers，而是通过在/etc /sudoers.d/文件夹中新增文件来完成配置。Please consider adding local content in /etc/sudoers.d/ instead of directly modifying this file.新增的文件就用vi编辑就可以了，比如说要为mantou增加sudo权限，就增加一个文件，文件名无所谓，内容是：mantou ALL=(ALL) ALL保存，退出vi然后需要把这个文件权限设置为400：chmod 400 mantou再用mantou用户登录后就可以使用sudo权限了。

---