Linux系统Sudo命令的使用说明

原文:http://zhumeng8337797.blog.163.com/blog/static/1007689142011101611025196/

 一. sudo的特点

  sudo扮演的角色注定了它要在安全方面格外谨慎,否则就会导致非法用户攫取root权限。同时,它还要兼顾易用性,让系统管理员能够更有效,更方便地使用它。sudo设计者的宗旨是:给用户尽可能少的权限但仍允许完成他们的工作。所以,sudo
有以下特点:

  # 1. sudo能够限制指定用户在指定主机上运行某些命令。
  # 2. sudo可以提供日志,忠实地记录每个用户使用sudo做了些什么,并且能将日志传到中心主机或者日志服务器。
  # 3. sudo为系统管理员提供配置文件,允许系统管理员集中地管理用户的使用权限和使用的主机。它默认的存放位置是/etc/sudoers。
  # 4.sudo使用时间戳文件来完成类似“检票”的系统。当用户执行sudo并且输入密码后,用户获得了一张默认存活期为5分钟的“入场券”(默认值可以在编译的时候改变)。超时以后,用户必须重新输入密码。

  二. sudo命令

  sudo程序本身就是一个设置了SUID位的二进制文件。我们可以检查一下它的权限:

  $ls -l /usr/bin/sudo
  ---s--x--x 2 root root 106832 02-12 17:41 /usr/bin/sudo

  它的所有者是root,所以每个用户都可以像root那样执行该程序。设置了SUID的程序在运行时可以给使用者以所有者的EUID。这也是为什么设置了SUID的程序必须小心编写。但是设置一个命令文件的SUID和用sudo来运行它是不同的概念,它们起着不同的作用。

  sudo的配置都记录在/etc/sudoers文件中,我们下面将会详细说明。配置文件指明哪些用户可以执行哪些命令。要使用sudo,用户必须提供一个指定用户名和密码。注意:sudo需要的不是目标用户的密码,而是执行sudo的用户的密码。如果不在sudoers中的用户通过sudo执行命令,sudo会向管理员报告这一事件。用户可以通过sudo -v来查看自己是否是在sudoers 之中。如果是,它还可以更新你的“入场券”上的时间;如果不是,它会提示你,但不会通知管理员。

  sudo命令格式如下:

  sudo -K -L -V -h -k -l -vsudo [-HPSb] [-a auth_type] [-c
  class-] [-p prompt] [-u username#uid] {-e file [...] -i -s command}

  下面我们再来看一下sudo其它常用的一些参数:

  选项     含义     作用
  sudo -h     Help     列出使用方法,退出。
  sudo -V     Version     显示版本信息,并退出。
  sudo -l     List     列出当前用户可以执行的命令。只有在sudoers里的用户才能使用该选项。
  sudo -u username#uid     User     以指定用户的身份执行命令。后面的用户是除root以外的,可以是用户名,也可以是#uid。

  sudo -k     Kill     清除“入场卷”上的时间,下次再使用sudo时要再输入密码。

  sudo -K     Sure kill     与-k类似,但是它还要撕毁“入场卷”,也就是删除时间戳文件。

  sudo -b command     Background     在后台执行指定的命令。

       sudo -p prompt command     Prompt     可以更改询问密码的提示语,其中%u会代换为使用者帐号名称,%h会显示主机名称。非常人性化的设计。

  sudo -e file     Edit     不是执行命令,而是修改文件,相当于命令sudoedit。

  还有一些不常用的参数,在手册页sudo(8)中可以找到。

  三. 配置sudo

  配置sudo必须通过编辑/etc/sudoers文件,而且只有超级用户才可以修改它,还必须使用visudo编辑。之所以使用visudo有两个原因,一是它能够防止
两个用户同时修改它;二是它也能进行有限的语法检查。所以,即使只有你一个超级用户,你也最好用visudo来检查一下语法。

  visudo默认的是在vi里打开配置文件,用vi来修改文件。我们可以在编译时修改这个默认项。visudo不会擅自保存带有语法错误的配置文件,它会提示你出现的问题,并询问该如何处理,就像:

  >>> sudoers file: syntax error, line 22 <<< now?>

  此时我们有三种选择:键入“e”是重新编辑,键入“x”是不保存退出,键入“Q”是退出并保存。如果真选择Q,那么sudo将不会再运行,直到错误被纠正。

  现在,我们一起来看一下神秘的配置文件,学一下如何编写它。让我们从一个简单的例子开始:让用户foobar可以通过sudo执行所有root可执行的命令。以root身份用visudo打开配置文件,可以看到类似下面几行:

  # Runas alias specification
  # User privilege specificationroot    ALL=(ALL)ALL

  我们一看就明白个差不多了,root有所有权限,只要仿照现有root的例子就行,我们在下面加一行(最好用tab作为空白):

  foobar  ALL=(ALL)    ALL

  保存退出后,切换到foobar用户,我们用它的身份执行命令:

  [foobar@localhost ~]$ ls /root
  ls: /root: 权限不够
  [foobar@localhost ~]$ sudo ls /root
  PassWord:
  anaconda-ks.cfg  Desktop  install.log  install.log.syslog

  好了,我们限制一下foobar的权利,不让他为所欲为。比如我们只想让他像root那样使用ls和ifconfig,把那一行改为:

  foobar  localhost=    /sbin/ifconfig,   /bin/ls

  再来执行命令:

  [foobar@localhost ~]$ sudo head -5 /etc/shadow
  Password:

  Sorry, user foobar is not allowed to execute '/usr/bin/head -5 /etc/shadow' as root on localhost.localdomain.
  [foobar@localhost ~]$ sudo /sbin/ifconfigeth0      Linkencap:Ethernet  HWaddr 00:14:85:EC:E9:9B...

  现在让我们来看一下那三个ALL到底是什么意思。第一个ALL是指网络中的主机,我们后面把它改成了主机名,它指明
foobar可以在此主机上执行后面的命令。第二个括号里的ALL是指目标用户,也就是以谁的身份去执行命令。最后一个ALL当然就是指命令名了。例如,我们想让foobar用户在linux主机上以jimmy或rene的身份执行kill命令,这样编写配置文件:

  foobar    linux=(jimmy,rene)    /bin/kill

  但这还有个问题,foobar到底以jimmy还是rene的身份执行?这时我们应该想到了sudo -u了,它正是用在这种时候。 foobar可以使用sudo -u jimmy kill PID或者sudo -u rene kill PID,但这样挺麻烦,其实我们可以不必每次加-u,把rene或jimmy设为默认的目标用户即可。再在上面加一行:

  Defaults:foobar    runas_default=rene

  Defaults后面如果有冒号,是对后面用户的默认,如果没有,则是对所有用户的默认。就像配置文件中自带的一行:

  Defaults    env_reset

  另一个问题是,很多时候,我们本来就登录了,每次使用sudo还要输入密码就显得烦琐了。我们可不可以不再输入密码呢?当然可以,我们这样修改配置文件:

  foobar  localhost=NOPASSWD:     /bin/cat, /bin/ls

  再来sudo一下:

  [foobar@localhost ~]$ sudo ls /rootanaconda-ks.cfg  Desktop  install.log
install.log.syslog

  当然,你也可以说“某些命令用户foobar不可以运行”,通过使用!操作符,但这不是一个好主意。因为,用!操作符来从ALL中“剔出”一些命令一般是没什么效果的,一个用户完全可以把那个命令拷贝到别的地方,换一个名字后再来运行。

四. 日志与安全

  sudo为安全考虑得很周到,不仅可以记录日志,还能在有必要时向系统管理员报告。但是,sudo的日志功能不是自动的,必须由管理员开启。这样来做:

  # toUCh /var/log/sudo
  # vi /etc/syslog.conf

  在syslog.conf最后面加一行(必须用tab分割开)并保存:

  local2.debug                    /var/log/sudo

  重启日志守候进程,

  ps aux grep syslogd

  把得到的syslogd进程的PID(输出的第二列是PID)填入下面:

  kill –HUP PID

  这样,sudo就可以写日志了:

  [foobar@localhost ~]$ sudo ls /rootanaconda-ks.cfg
  Desktop  install.log
install.log.syslog
$cat /var/log/sudoJul 28 22:52:54 localhost sudo:   foobar :
TTY=pts/1 ; PWD=/home/foobar ; USER=root ; COMMAND=/bin/ls /root

  不过,有一个小小的“缺陷”,sudo记录日志并不是很忠实:

  [foobar@localhost ~]$ sudo cat /etc/shadow > /dev/null
  [foobar@localhost ~]$
  cat /var/log/sudo...Jul 28 23:10:24 localhost sudo:   foobar : TTY=pts/1 ;
  PWD=/home/foobar ; USER=root ; COMMAND=/bin/cat /etc/shadow

  重定向没有被记录在案!为什么?因为在命令运行之前,shell把重定向的工作做完了,sudo根本就没看到重定向。这也有个好处,下面的手段不会得逞:

  [foobar@localhost ~]$ sudo ls /root > /etc/shadowbash: /etc/shadow: 权限不够

  sudo 有自己的方式来保护安全。以root的身份执行sudo -V,查看一下sudo的设置。因为考虑到安全问题,一部分环境变量并没有传递给sudo后面的命令,或者被检查后再传递的,比如:PATH,HOME,
SHELL等。当然,你也可以通过sudoers来配置这些环境变量。



添加sudo用户

 对应配置文件:/etc/sudoers
在root下使用 vi sudo命令 或者 sudo edit命令 对此文件进行编辑。
在此配置文件中添加如下内容
## Allow root to run any commands anywhere
root    ALL=(ALL)       ALL
wmmwang ALL=(ALL)       NOPASSWD:ALL
将wmmwang用户添加为具有可以使用sudo执行,NOPASSWD表示使用sudo的时候不用输入密码,否则在使用sudo时候要输入密码。

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@

 由于管理的服务器不多,而且都是我一个人管,但公司发展越来越快,服务器也越来越多,人手也添加了,但不能一直都用root账号人手一份,为了安全和管理控制,决定部署sudo。sudo默认安装在系统里,配置日志文件跟踪的时候遇到问题,无论怎么操作,就是不能写入sudo日志。参考了网上的N多文章 ,都不能解决问题,其中的奥秘就在于他们都省略了一步。所以部署东西,最好还是先看官方文档为先,遇到小部份难题在google为好。
一、实验环境
# cat /etc/redhat-release  
 
CentOS release 5.5 (Final) 
 
# rpm -qa | grep sudo 
 
sudo-1.7.2p1-5.el5 
 
[root@CentOS-A log]# rpm -ql  sudo 
 
/usr/share/doc/sudo-1.7.2p1/sample.sudoers 
 
/usr/share/doc/sudo-1.7.2p1/sample.syslog.conf 

二、参考资料
注:留意我标明红色的地方,这些是成功配置所在。
[root@CentOS-A ~]# cat /usr/share/doc/sudo-1.7.2p1/ sample.sudoers  
# Sample /etc/sudoers file. 
# This file MUST be edited with the 'visudo' command as root. 
# See the sudoers man page for the details on how to write a sudoers file. 
# $Sudo: sample.sudoers,v 1.29 2008/10/03 19:55:57 millert Exp $ 
 
## 
# Override built-in defaults 
## 
Defaults        syslog=auth 
Defaults>root       !set_logname 
Defaults:FULLTIMERS !lecture 
Defaults:millert    !authenticate 
Defaults@SERVERS    log_year, logfile=/var/log/sudo.log 
Defaults!PAGERS     noexec 
 
## 
# User alias specification 
## 
User_Alias  FULLTIMERS = millert, mikef, dowdy 
User_Alias  PARTTIMERS = bostley, jwfox, crawl 
User_Alias  WEBMASTERS = will, wendy, wim 
 
## 
# Runas alias specification 
## 
Runas_Alias OP = root, operator 
Runas_Alias DB = oracle, sybase 
 
## 
# Host alias specification 
## 
Host_Alias  SPARC = bigtime, eclipse, moet, anchor:\ 
        SGI = grolsch, dandelion, black:\ 
        ALPHA = widget, thalamus, foobar:\ 
        HPPA = boa, nag, python 
Host_Alias  CUNETS = 128.138.0.0/255.255.0.0 
Host_Alias  CSNETS = 128.138.243.0, 128.138.204.0/24, 128.138.242.0 
Host_Alias  SERVERS = master, mail, www, ns 
Host_Alias  CDROM = orion, perseus, hercules 
 
## 
# Cmnd alias specification 
## 
Cmnd_Alias  DUMPS = /usr/sbin/dump, /usr/sbin/rdump, /usr/sbin/restore, \ 
            /usr/sbin/rrestore, /usr/bin/mt 
Cmnd_Alias  KILL = /usr/bin/kill 
Cmnd_Alias  PRINTING = /usr/sbin/lpc, /usr/bin/lprm 
Cmnd_Alias  SHUTDOWN = /usr/sbin/shutdown 
Cmnd_Alias  HALT = /usr/sbin/halt 
Cmnd_Alias  REBOOT = /usr/sbin/reboot 
Cmnd_Alias  SHELLS = /sbin/sh, /usr/bin/sh, /usr/bin/csh, /usr/bin/ksh, \ 
             /usr/local/bin/tcsh, /usr/bin/rsh, \ 
             /usr/local/bin/zsh 
Cmnd_Alias  SU = /usr/bin/su 
Cmnd_Alias  VIPW = /usr/sbin/vipw, /usr/bin/passwd, /usr/bin/chsh, \ 
               /usr/bin/chfn 
Cmnd_Alias  PAGERS = /usr/bin/more, /usr/bin/pg, /usr/bin/less 
 
## 
# User specification 
## 
 
# root and users in group wheel can run anything on any machine as any user 
root        ALL = (ALL) ALL 
%wheel      ALL = (ALL) ALL 
 
# full time sysadmins can run anything on any machine without a password 
FULLTIMERS  ALL = NOPASSWD: ALL 
 
# part time sysadmins may run anything but need a password 
PARTTIMERS  ALLALL = ALL 
 
# jack may run anything on machines in CSNETS 
jack        CSNETS = ALL 
 
# lisa may run any command on any host in CUNETS (a class B network) 
lisa        CUNETS = ALL 
 
# operator may run maintenance commands and anything in /usr/oper/bin/ 
operator    ALL = DUMPS, KILL, SHUTDOWN, HALT, REBOOT, PRINTING,\ 
        sudoedit /etc/printcap, /usr/oper/bin/ 
 
# joe may su only to operator 
joe     ALL = /usr/bin/su operator 
 
# pete may change passwords for anyone but root on the hp snakes 
pete        HPPA = /usr/bin/passwd [A-Za-z]*, !/usr/bin/passwd root 
 
# bob may run anything on the sparc and sgi machines as any user 
# listed in the Runas_Alias "OP" (ie: root and operator) 
bob     SPARC = (OP) ALL : SGI = (OP) ALL 
 
# jim may run anything on machines in the biglab netgroup 
jim     +biglab = ALL 
 
# users in the secretaries netgroup need to help manage the printers 
# as well as add and remove users 
+secretaries    ALL = PRINTING, /usr/bin/adduser, /usr/bin/rmuser 
 
# fred can run commands as oracle or sybase without a password 
fred        ALL = (DB) NOPASSWD: ALL 
 
# on the alphas, john may su to anyone but root and flags are not allowed 
john        ALPHA = /usr/bin/su [!-]*, !/usr/bin/su *root* 
 
# jen can run anything on all machines except the ones 
# in the "SERVERS" Host_Alias 
jen     ALL, !SERVERS = ALL 
 
# jill can run any commands in the directory /usr/bin/, except for 
# those in the SU and SHELLS aliases. 
jill        SERVERS = /usr/bin/, !SU, !SHELLS 
 
# steve can run any command in the directory /usr/local/op_commands/ 
# as user operator. 
steve       CSNETS = (operator) /usr/local/op_commands/ 
 
# matt needs to be able to kill things on his workstation when 
# they get hung. 
matt        valkyrie = KILL 
 
# users in the WEBMASTERS User_Alias (will, wendy, and wim) 
# may run any command as user www (which owns the web pages) 
# or simply su to www. 
WEBMASTERS  www = (www) ALL, (root) /usr/bin/su www 
 
# anyone can mount/unmount a cd-rom on the machines in the CDROM alias 
ALL     CDROM = NOPASSWD: /sbin/umount /CDROM,\ 
        /sbin/mount -o nosuid\,nodev /dev/cd0a /CDROM 


[root@CentOS-A ~]# cat /usr/share/doc/sudo-1.7.2p1/sample.syslog.conf  

# This is a sample syslog.conf fragment for use with Sudo. 
# Sudo logs to local2 by default, but this is changable via the 
# --with-logfac configure option.  To see what syslog facility 
# a sudo binary uses, run `sudo -V' as *root*.  You may have 
# to check /usr/include/syslog.h to map the facility number to 
# a name. 
# NOTES: 
#   The whitespace in the following line is made up of <TAB> 
#       characters, *not* spaces.  You cannot just cut and paste! 
#   If you edit syslog.conf you need to send syslogd a HUP signal. 
#   Ie: kill -HUP process_id 
#   Syslogd will not create new log files for you, you must first 
#   create the file before syslogd will log to it.  Eg. 
#   'touch /var/log/sudo' 
# $Sudo: sample.syslog.conf,v 1.3 2004/10/01 14:58:15 millert Exp $ 
 
# This logs successful and failed sudo attempts to the file /var/log/sudo 
local2.debug                    /var/log/sudo 
 
# To log to a remote machine, use something like the following, 
# where "loghost" is the name of the remote machine. 
local2.debug                    @loghost 


三、完整配置
3.1.配置sudo日志文件
#touch /var/log/sudo.log 
3.2.修改/etc/syslog.conf配置文件 
local2.debug                                  /var/log/sudo.log          #空白处不能用空格键,必需用tab键

3.3、修改/etc/sudoers配置文件
注:不要手动修改配置文件 ,用visudo命令修改,好处是修改出错,保存会弹出错误提示信息,方便排错。
#visudo 
D efaults              logfile=/var/log/sudo.log    #添加这一行 

3.4、重启syslog服务
# ps -aux | grep syslog 
 
Warning: bad syntax, perhaps a bogus '-'? See /usr/share/doc/procps-3.2.7/FAQ 
 
root     10367  0.0  0.1   1728   612 ?        Ss   23:10   0:00 syslogd -m 0 
 
root     10437  0.0  0.1   3920   688 pts/1    R+   23:41   0:00 grep syslog 
 
# kill -HUP 10367 
#/etc/init.d/syslog restart 
四、成功测试
# cat /var/log/sudo.log 
 
Dec 14 23:07:39 : firerat : TTY=pts/0 ; PWD=/home/firerat ; USER=root ; 
 
    COMMAND=/bin/cat /etc/passwd 

将sudo的日志记录到本地 远程

 

touch /var/log/sudolog 去生成一个新的日志
在visudo里增加

Defaults loglinelen=0 Defaults logfile=/var/log/sudolog
在/etc/syslog.conf最下边增加

local2.debug                                            /var/log/sudolog
重启syslog服务

service syslog restart

--------------------------------------------------------------------------------
将sudo的日志记录到远端服务器

在visudo增加

Defaults        loglinelen=0
Defaults        syslog=local2
%qunarops  ALL=(ALL)      
NOPASSWD: ALL,!/bin/su

 

在vi /etc/syslog.conf最下边增加

local2.*                                            @192.168.0.119
重启syslog服务

service syslog restart

--------------------------------------------------------------------------------


远端日志服务器配置

vi /etc/sysconfig/syslog SYSLOGD_OPTIONS="-r -m 0"
vi /etc/syslog.conf  增加
 local2.*                                                /var/log/sudolog
重启 syslog

service syslog restart

 





 
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值