什么？在 Linux 系统当中还要作身份的变换？这是为啥？可能有底下几个原因啦！
[b]使用一般账号：系统平日操作的好习惯[/b]
事实上，为了安全的缘故，一些老人家都会建议你，尽量以一般身份使用者来操作 Linux 的日常作业！等到需要配置系统环境时， 才变换身份成为 root 来进行系统管理，相对比较安全啦！避免作错一些严重的命令，例如恐怖的『 rm -rf / 』(千万作不得！)
[b]用较低权限启动系统服务[/b]
相对于系统安全，有的时候，[color=red]我们必须要以某些系统账号来进行程序的运行。 [/color]举例来说， Linux 主机上面的一套软件，名称为 apache ，我们可以额外创建一个名为 apache 的用户来启动 apache 软件啊，如此一来，如果这个程序被攻破，至少系统还不至于就损毁了～
[b]软件本身的限制[/b]
在远古时代的 telnet 程序中，该程序默认是不许使用 root 的身份登陆的，telnet 会判断登陆者的 UID， 若 UID 为 0 的话，那就直接拒绝登陆了。所以，你只能使用一般使用者来登陆 Linux 服务器。 此外， ssh (注3) 也可以配置拒绝 root 登陆喔！那如果你有系统配置需求该如何是好啊？就变换身份啊！
由于上述考虑，所以我们都是使用一般账号登陆系统的，等有需要进行系统维护或软件升级时才转为 root 的身份来动作。 那如何让一般使用者转变身份成为 root 呢？主要有两种方式喔：
[color=red]以『 su - 』直接将身份变成 root 即可，但是这个命令却需要 root 的口令[/color]，也就是说，如果你要以 su 变成 root 的话，你的一般使用者就必须要有 root 的口令才行；
以[color=red]『 sudo 命令 』运行 root 的命令串，由于 sudo 需要事先配置妥当，且 sudo 需要输入用户自己的口令，[/color] 因此多人共管同一部主机时， sudo 要比 su 来的好喔！至少 root 口令不会流出去！
底下我们就来说一说 su 跟 sudo 的用法啦！
[size=large][b]su[/b][/size]
[color=red]su 是最简单的身份切换命令了，他可以进行任何身份的切换唷！[/color]方法如下：
[code="linux"]
# su [-lm] [-c 命令] [username]
选项与参数：
- ：单纯使用 - 如『 su - 』代表使用 login-shell 的变量文件读取方式来登陆系统；
若使用者名称没有加上去，则代表切换为 root 的身份。
-l ：与 - 类似，但后面需要加欲切换的使用者账号！也是 login-shell 的方式。
-m ：-m 与 -p 是一样的，表示『使用目前的环境配置，而不读取新使用者的配置文件』
-c ：仅进行一次命令，所以 -c 后面可以加上命令喔！
[/code]
上表的解释当中有出现之前第十一章谈过的 login-shell 配置文件读取方式，如果你忘记那是啥东西， 请先回去第十一章瞧瞧再回来吧！[color=red]这个 su 的用法当中，有没有加上那个减号『 - 』差很多喔！[/color] 因为涉及 login-shell 与 non-login shell 的变量读取方法。这里让我们以一个小例子来说明吧！
[code="linux"]
范例一：假设你原本是 vbird1 的身份，想要使用 non-login shell 的方式变成 root
[vbird1@www ~]$ su <==注意提示字符，是 vbird1 的身份喔！
Password: <==这里输入 root 的口令喔！
# id <==提示字符的目录是 vbird1 喔！
uid=0(root) gid=0(root) groups=0(root),1(bin),... <==确实是 root 的身份！
# env | grep 'vbird1'
USER=vbird1
PATH=/usr/local/bin:/bin:/usr/bin:/home/vbird1/bin <==这个影响最大！
MAIL=/var/spool/mail/vbird1 <==收到的 mailbox 是 vbird1
PWD=/home/vbird1 <==并非 root 的家目录
LOGNAME=vbird1
# 虽然你的 UID 已经是具有 root 的身份，但是看到上面的输出信息吗？
# 还是有一堆变量为原本 vbird1 的身份，所以很多数据还是无法直接利用。
# exit <==这样可以离开 su 的环境！
[/code]
[color=red]单纯使用『 su 』切换成为 root 的身份，读取的变量配置方式为 non-login shell 的方式，这种方式很多原本的变量不会被改变， 尤其是我们之前谈过很多次的 PATH 这个变量，[/color]由于没有改变成为 root 的环境 (一堆 /sbin, /usr/sbin 等目录都没有被包含进来)， 因此很多 root 惯用的命令就只能使用绝对路径来运行咯。其他的还有 MAIL 这个变量，你输入 mail 时， 收到的邮件竟然还是 vbird1 的，而不是 root 本身的邮件！是否觉得很奇怪啊！所以切换身份时，请务必使用如下的范例二：
[code="linux"]
范例二：使用 login shell 的方式切换为 root 的身份并观察变量
[vbird1@www ~]$ su -
Password: <==这里输入 root 的口令喔！
# env | grep root
USER=root
MAIL=/var/spool/mail/root
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin
PWD=/root
HOME=/root
LOGNAME=root
# 了解差异了吧？下次变换成为 root 时，记得最好使用 su - 喔！
# exit <==这样可以离开 su 的环境！
[/code]
上述的作法是让使用者的身份变成 root 并开始操作系统，如果想要离开 root 的身份则得要利用 exit 离开才行。 那我如果只是想要运行『一个只有 root 才能进行的命令，且运行完毕就恢复原本的身份』呢？[color=red]那就可以加上 -c 这个选项啰！[/color] 请参考底下范例三！
由于 /etc/shadow 权限的关系，该文件仅有 root 可以查阅。为了查阅该文件，所以我们必须要使用 root 的身份工作。 [color=red]但我只想要进行一次该命令而已，此时就使用类似上面的语法吧！[/color]好，那接下来，如果我是 root 或者是其他人， 想要变更成为某些特殊账号，可以使用如下的方法来切换喔！
[code="linux"]
范例四：原本是 vbird1 这个使用者，想要变换身份成为 dmtsai 时？
[vbird1@www ~]$ su -l dmtsai
Password: <==这里输入 dmtsai 的口令喔！
[dmtsai@www ~]$ su -
Password: <==这里输入 root 的口令喔！
# id sshd
uid=74(sshd) gid=74(sshd) groups=74(sshd) ... <==确实有存在此人
# su -l sshd
This account is currently not available. <==竟然说此人无法切换？
# finger sshd
Login: sshd Name: Privilege-separated SSH
Directory: /var/empty/sshd Shell: /sbin/nologin
# exit <==离开第二次的 su
[dmtsai@www ~]$ exit <==离开第一次的 su
[vbird1@www ~]$ exit <==这才是最初的环境！
[/code]
su 就这样简单的介绍完毕，总结一下他的用法是这样的：
A 若要完整的切换到新使用者的环境，必须要使用[color=orange]『 su - username 』或『 su -l username 』[/color]， 才会连同 PATH/USER/MAIL 等变量都转成新用户的环境；
[color=red]B 如果仅想要运行一次 root 的命令，可以利用『 su - -c "命令串" 』的方式来处理；[/color]
[color=blue]C 使用 root 切换成为任何使用者时，并不需要输入新用户的口令；[/color]
虽然使用 su 很方便啦，不过缺点是，当我的主机是多人共管的环境时，如果大家都要使用 su 来切换成为 root 的身份，那么不就每个人都得要知道 root 的口令，这样口令太多人知道可能会流出去， 很不妥当呢！怎办？透过 sudo 来处理即可！
[size=large][b]sudo[/b][/size]
相对于 su 需要了解新切换的用户口令 (常常是需要 root 的口令)， [color=red]sudo 的运行则仅需要自己的口令即可！[/color] 甚至可以配置不需要口令即可运行 sudo 呢！由于 sudo 可以让你以其他用户的身份运行命令 (通常是使用 root 的身份来运行命令)，因此[color=red]并非所有人都能够运行 sudo ， 而是仅有规范到 /etc/sudoers 内的用户才能够运行 sudo 这个命令喔！[/color]说的这么神奇，底下就来瞧瞧那 sudo 如何使用？
[size=small][b]sudo 的命令用法[/b][/size]
由于一开始系统默认[color=red]仅有 root 可以运行 sudo[/color] ，因此底下的范例我们先以 root 的身份来运行，等到谈到 visudo 时，再以一般使用者来讨论其他 sudo 的用法吧！ sudo 的语法如下：
[code="linux"]
# sudo [-b] [-u 新使用者账号]
选项与参数：
-b ：将后续的命令放到背景中让系统自行运行，而不与目前的 shell 产生影响
-u ：后面可以接欲切换的使用者，若无此项则代表切换身份为 root 。
范例一：你想要以 sshd 的身份在 /tmp 底下创建一个名为 mysshd 的文件
# sudo -u sshd touch /tmp/mysshd
# ll /tmp/mysshd
-rw-r--r-- 1 sshd sshd 0 Feb 28 17:42 /tmp/mysshd
# 特别留意，这个文件的权限是由 sshd 所创建的情况喔！
范例二：你想要以 vbird1 的身份创建 ~vbird1/www 并于其中创建 index.html 文件
# sudo -u vbird1 sh -c "mkdir ~vbird1/www; cd ~vbird1/www; \
> echo 'This is index.html file' > index.html"
# ll -a ~vbird1/www
drwxr-xr-x 2 vbird1 vbird1 4096 Feb 28 17:51 .
drwx------ 5 vbird1 vbird1 4096 Feb 28 17:51 ..
-rw-r--r-- 1 vbird1 vbird1 24 Feb 28 17:51 index.html
# 要注意，创建者的身份是 vbird1 ，且我们使用 sh -c "一串命令" 来运行的！
[/code]
[color=red]sudo 可以让你切换身份来进行某项任务[/color]，例如上面的两个范例。范例一中，我们的 root 使用 sshd 的权限去进行某项任务！ 要注意，因为我们无法使用『 su - sshd 』去切换系统账号 (因为系统账号的 shell 是 /sbin/nologin)， 这个时候 sudo 真是他 X 的好用了！立刻以 sshd 的权限在 /tmp 底下创建文件！查阅一下文件权限你就了解意义啦！ 至于范例二则更使用多重命令串 (透过分号 ; 来延续命令进行)，[color=orange]使用 sh -c 的方法来运行一连串的命令[/color]， 如此真是好方便！
但是 sudo 默认仅有 root 能使用啊！为什么呢？因为 sudo 的运行是这样的流程：
[color=red]A 当用户运行 sudo 时，系统于 /etc/sudoers 文件中搜寻该使用者是否有运行 sudo 的权限；[/color]
B 若使用者具有可运行 sudo 的权限后，便让使用者『输入用户自己的口令』来确认；
[color=red]C 若口令输入成功，便开始进行 sudo 后续接的命令(但 root 运行 sudo 时，不需要输入口令)；[/color]
D 若欲切换的身份与运行者身份相同，那也不需要输入口令。
所以说，sudo 运行的重点是：[color=red]『能否使用 sudo 必须要看 /etc/sudoers 的配置值， 而可使用 sudo 者是透过输入用户自己的口令来运行后续的命令串』喔！[/color]由于能否使用与 /etc/sudoers 有关， 所以我们当然要去编辑 sudoers 文件啦！不过，因为该文件的内容是有一定的规范的，因此直接使用 vi 去编辑是不好的。 此时，[color=red]我们得要透过 visudo 去修改这个文件喔！[/color]
[size=large][b]visudo 与 /etc/sudoers[/b][/size]
从上面的说明我们可以知道，除了 root 之外的其他账号，若想要使用 sudo 运行属于 root 的权限命令，[color=red]则 root 需要先使用 visudo 去修改 /etc/sudoers[/color] ，让该账号能够使用全部或部分的 root 命令功能。为什么要使用 visudo 呢？[color=red]这是因为 /etc/sudoers 是有配置语法的，如果配置错误那会造成无法使用 sudo 命令的不良后果。[/color]因此才会使用 visudo 去修改， 并在结束离开修改画面时，系统会去检验 /etc/sudoers 的语法就是了。
一般来说，visudo 的配置方式有几种简单的方法喔，底下我们以几个简单的例子来分别说明：
[size=small][b]单一用户可进行 root 所有命令，与 sudoers 文件语法：[/b][/size]
假如我们要让 vbird1 这个账号可以使用 root 的任何命令，那么可以简单的这样进行修改即可：
[code="linux"]
# visudo
....(前面省略)....
root ALL=(ALL) ALL <==找到这一行，大约在 76 行左右
vbird1 ALL=(ALL) ALL <==这一行是你要新增的！
....(前面省略)....
[/code]
有趣吧！[color=red]其实 visudo 只是利用 vi 将 /etc/sudoers 文件呼叫出来进行修改而已[/color]，所以这个文件就是 /etc/sudoers 啦！ 这个文件的配置其实很简单，如上面所示，如果你找到 76 行 (有 root 配置的那行) 左右，看到的数据就是：
上面这一行的四个组件意义是：
A 系统的哪个账号可以使用 sudo 这个命令的意思，默认为 root 这个账号；
B 当这个账号由哪部主机联机到本 Linux 主机，意思是这个账号可能是由哪一部网络主机联机过来的， 这个配置值可以指定客户端计算机(信任用户的意思)。默认值 root 可来自任何一部网络主机
[color=red]C 这个账号可以切换成什么身份来下达后续的命令，默认 root 可以切换成任何人；[/color]
D 可用该身份下达什么命令？这个命令请务必使用绝对路径撰写。 默认 root 可以切换任何身份且进行任何命令之意。
[color=red]那个 ALL 是特殊的关键词，代表任何身份、主机或命令的意思。[/color]所以，我想让 vbird1 可以进行任何身份的任何命令， 就如同上表特殊字体写的那样，其实就是复制上述默认值那一行，再将 root 改成 vbird1 即可啊！ 此时『vbird1 不论来自哪部主机登陆，他可以变换身份成为任何人，且可以进行系统上面的任何命令』之意。 修改完请储存后离开 vi，并以 vbird1 登陆系统后，进行如下的测试看看：
注意到了吧！vbird1 输入自己的口令就能够运行 root 的命令！所以，[color=red]系统管理员当然要了解 vbird1 这个用户的『操守』才行！[/color]否则随便配置一个用户，他恶搞系统怎办？另外，一个一个配置太麻烦了， 能不能使用群组的方式来配置呢？参考底下的方式吧。
[size=small][b]利用群组以及免口令的功能处理 visudo[/b][/size]
我们在本章前面曾经创建过 pro1, pro2, pro3 ，这三个用户能否透过群组的功能让这三个人可以管理系统？ 可以的，而且很简单！同样我们使用实际案例来说明：
[code="linux"]
# visudo <==同样的，请使用 root 先配置
....(前面省略)....
%wheel ALL=(ALL) ALL <==大约在 84 行左右，请将这行的 # 拿掉！
# 在最左边加上 % ，代表后面接的是一个『群组』之意！改完请储存后离开
# usermod -a -G wheel pro1 <==将 pro1 加入 wheel 的支持
[/code]
上面的配置值会造成『任何加入 wheel 这个群组的使用者，就能够使用 sudo 切换任何身份来操作任何命令』的意思。 你当然可以将 wheel 换成你自己想要的群组名。接下来，请分别切换身份成为 pro1 及 pro2 试看看 sudo 的运行。
这样理解群组了吧？如果你想要让 pro3 也支持这个 sudo 的话，不需要重新使用 visudo ，只要利用 usermod 去修改 pro3 的群组支持，让 wheel 也支持 pro3 的话，那他就能够进行 sudo 啰！ 简单吧！不过，既然我们都信任这些 sudo 的用户了，能否提供『不需要口令即可使用 sudo 』呢？ 就透过如下的方式：
[code="linux"]
# visudo <==同样的，请使用 root 先配置
....(前面省略)....
%wheel ALL=(ALL) NOPASSWD: ALL <==大约在 87 行左右，请将 # 拿掉！
# 在最左边加上 % ，代表后面接的是一个『群组』之意！改完请储存后离开
[/code]
重点是那个 NOPASSWD 啦！该关键词是免除口令输入的意思喔！
[size=small][b]有限制的命令操作：[/b][/size]
上面两点都会让使用者能够利用 root 的身份进行任何事情！这样总是不太好～如果我想要让用户仅能够进行部分系统任务， 比方说，系统上面的 myuser1 仅能够帮 root 修改其他用户的口令时，亦即『当使用者仅能使用 passwd 这个命令帮忙 root 修改其他用户的口令』时，你该如何撰写呢？可以这样做：
[code="linux"]
# visudo <==注意是 root 身份
myuser1 ALL=(root) /usr/bin/passwd <==最后命令务必用绝对路径
[/code]
上面的配置值指的是[color=red]『myuser1 可以切换成为 root 使用 passwd 这个命令』[/color]的意思。其中要注意的是： 命令字段必须要填写绝对路径才行！否则 visudo 会出现语法错误的状况发生！ 此外，上面的配置是有问题的！我们使用底下的命令操作来让您了解：
恐怖啊！我们竟然让 root 的口令被 myuser3 给改变了！下次 root 回来竟无法登陆系统...欲哭无泪～怎办？ 所以我们必须要限制用户的命令参数！修改的方法为将上述的那行改一改先：
[code="linux"]
# visudo <==注意是 root 身份
myuser1 ALL=(root) !/usr/bin/passwd, /usr/bin/passwd [A-Za-z]*, \
!/usr/bin/passwd root
[/code]
由于屏幕一行写不完，我将这行写成两行，所以上面第一行最后加上反斜杠啰。加上惊叹号『 ! 』代表『不可运行』的意思。 因此上面这一行会变成：可以运行『 passwd 任意字符』，但是『 passwd 』与『 passwd root 』这两个命令例外！ 如此一来 myuser1 就无法改变 root 的口令了！这样这位使用者可以具有 root 的能力帮助你修改其他用户的口令， 而且也不能随意改变 root 的口令！很有用处的！
转自：[url]http://vbird.dic.ksu.edu.tw/linux_basic/0410accountmanager_4.php[/url]
[b]使用一般账号：系统平日操作的好习惯[/b]
事实上，为了安全的缘故，一些老人家都会建议你，尽量以一般身份使用者来操作 Linux 的日常作业！等到需要配置系统环境时， 才变换身份成为 root 来进行系统管理，相对比较安全啦！避免作错一些严重的命令，例如恐怖的『 rm -rf / 』(千万作不得！)
[b]用较低权限启动系统服务[/b]
相对于系统安全，有的时候，[color=red]我们必须要以某些系统账号来进行程序的运行。 [/color]举例来说， Linux 主机上面的一套软件，名称为 apache ，我们可以额外创建一个名为 apache 的用户来启动 apache 软件啊，如此一来，如果这个程序被攻破，至少系统还不至于就损毁了～
[b]软件本身的限制[/b]
在远古时代的 telnet 程序中，该程序默认是不许使用 root 的身份登陆的，telnet 会判断登陆者的 UID， 若 UID 为 0 的话，那就直接拒绝登陆了。所以，你只能使用一般使用者来登陆 Linux 服务器。 此外， ssh (注3) 也可以配置拒绝 root 登陆喔！那如果你有系统配置需求该如何是好啊？就变换身份啊！
由于上述考虑，所以我们都是使用一般账号登陆系统的，等有需要进行系统维护或软件升级时才转为 root 的身份来动作。 那如何让一般使用者转变身份成为 root 呢？主要有两种方式喔：
[color=red]以『 su - 』直接将身份变成 root 即可，但是这个命令却需要 root 的口令[/color]，也就是说，如果你要以 su 变成 root 的话，你的一般使用者就必须要有 root 的口令才行；
以[color=red]『 sudo 命令 』运行 root 的命令串，由于 sudo 需要事先配置妥当，且 sudo 需要输入用户自己的口令，[/color] 因此多人共管同一部主机时， sudo 要比 su 来的好喔！至少 root 口令不会流出去！
底下我们就来说一说 su 跟 sudo 的用法啦！
[size=large][b]su[/b][/size]
[color=red]su 是最简单的身份切换命令了，他可以进行任何身份的切换唷！[/color]方法如下：
[code="linux"]
# su [-lm] [-c 命令] [username]
选项与参数：
- ：单纯使用 - 如『 su - 』代表使用 login-shell 的变量文件读取方式来登陆系统；
若使用者名称没有加上去，则代表切换为 root 的身份。
-l ：与 - 类似，但后面需要加欲切换的使用者账号！也是 login-shell 的方式。
-m ：-m 与 -p 是一样的，表示『使用目前的环境配置，而不读取新使用者的配置文件』
-c ：仅进行一次命令，所以 -c 后面可以加上命令喔！
[/code]
上表的解释当中有出现之前第十一章谈过的 login-shell 配置文件读取方式，如果你忘记那是啥东西， 请先回去第十一章瞧瞧再回来吧！[color=red]这个 su 的用法当中，有没有加上那个减号『 - 』差很多喔！[/color] 因为涉及 login-shell 与 non-login shell 的变量读取方法。这里让我们以一个小例子来说明吧！
[code="linux"]
范例一：假设你原本是 vbird1 的身份，想要使用 non-login shell 的方式变成 root
[vbird1@www ~]$ su <==注意提示字符，是 vbird1 的身份喔！
Password: <==这里输入 root 的口令喔！
# id <==提示字符的目录是 vbird1 喔！
uid=0(root) gid=0(root) groups=0(root),1(bin),... <==确实是 root 的身份！
# env | grep 'vbird1'
USER=vbird1
PATH=/usr/local/bin:/bin:/usr/bin:/home/vbird1/bin <==这个影响最大！
MAIL=/var/spool/mail/vbird1 <==收到的 mailbox 是 vbird1
PWD=/home/vbird1 <==并非 root 的家目录
LOGNAME=vbird1
# 虽然你的 UID 已经是具有 root 的身份，但是看到上面的输出信息吗？
# 还是有一堆变量为原本 vbird1 的身份，所以很多数据还是无法直接利用。
# exit <==这样可以离开 su 的环境！
[/code]
[color=red]单纯使用『 su 』切换成为 root 的身份，读取的变量配置方式为 non-login shell 的方式，这种方式很多原本的变量不会被改变， 尤其是我们之前谈过很多次的 PATH 这个变量，[/color]由于没有改变成为 root 的环境 (一堆 /sbin, /usr/sbin 等目录都没有被包含进来)， 因此很多 root 惯用的命令就只能使用绝对路径来运行咯。其他的还有 MAIL 这个变量，你输入 mail 时， 收到的邮件竟然还是 vbird1 的，而不是 root 本身的邮件！是否觉得很奇怪啊！所以切换身份时，请务必使用如下的范例二：
[code="linux"]
范例二：使用 login shell 的方式切换为 root 的身份并观察变量
[vbird1@www ~]$ su -
Password: <==这里输入 root 的口令喔！
# env | grep root
USER=root
MAIL=/var/spool/mail/root
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin
PWD=/root
HOME=/root
LOGNAME=root
# 了解差异了吧？下次变换成为 root 时，记得最好使用 su - 喔！
# exit <==这样可以离开 su 的环境！
[/code]
上述的作法是让使用者的身份变成 root 并开始操作系统，如果想要离开 root 的身份则得要利用 exit 离开才行。 那我如果只是想要运行『一个只有 root 才能进行的命令，且运行完毕就恢复原本的身份』呢？[color=red]那就可以加上 -c 这个选项啰！[/color] 请参考底下范例三！
范例三：vbird1 想要运行『 head -n 3 /etc/shadow 』一次，且已知 root 口令
[vbird1@www ~]$ head -n 3 /etc/shadow
head: cannot open `/etc/shadow' for reading: Permission denied
[vbird1@www ~]$ su - -c "head -n 3 /etc/shadow"
Password: <==这里输入 root 的口令喔！
root:$1$/30QpEWEBEZXRD0bh6rAABCEQD.BAH0:14126:0:99999:7:::
bin:*:14126:0:99999:7:::
daemon:*:14126:0:99999:7:::
[vbird1@www ~]$ <==注意看，身份还是 vbird1 喔！继续使用旧的身份进行系统操作！
由于 /etc/shadow 权限的关系，该文件仅有 root 可以查阅。为了查阅该文件，所以我们必须要使用 root 的身份工作。 [color=red]但我只想要进行一次该命令而已，此时就使用类似上面的语法吧！[/color]好，那接下来，如果我是 root 或者是其他人， 想要变更成为某些特殊账号，可以使用如下的方法来切换喔！
[code="linux"]
范例四：原本是 vbird1 这个使用者，想要变换身份成为 dmtsai 时？
[vbird1@www ~]$ su -l dmtsai
Password: <==这里输入 dmtsai 的口令喔！
[dmtsai@www ~]$ su -
Password: <==这里输入 root 的口令喔！
# id sshd
uid=74(sshd) gid=74(sshd) groups=74(sshd) ... <==确实有存在此人
# su -l sshd
This account is currently not available. <==竟然说此人无法切换？
# finger sshd
Login: sshd Name: Privilege-separated SSH
Directory: /var/empty/sshd Shell: /sbin/nologin
# exit <==离开第二次的 su
[dmtsai@www ~]$ exit <==离开第一次的 su
[vbird1@www ~]$ exit <==这才是最初的环境！
[/code]
su 就这样简单的介绍完毕，总结一下他的用法是这样的：
A 若要完整的切换到新使用者的环境，必须要使用[color=orange]『 su - username 』或『 su -l username 』[/color]， 才会连同 PATH/USER/MAIL 等变量都转成新用户的环境；
[color=red]B 如果仅想要运行一次 root 的命令，可以利用『 su - -c "命令串" 』的方式来处理；[/color]
[color=blue]C 使用 root 切换成为任何使用者时，并不需要输入新用户的口令；[/color]
虽然使用 su 很方便啦，不过缺点是，当我的主机是多人共管的环境时，如果大家都要使用 su 来切换成为 root 的身份，那么不就每个人都得要知道 root 的口令，这样口令太多人知道可能会流出去， 很不妥当呢！怎办？透过 sudo 来处理即可！
[size=large][b]sudo[/b][/size]
相对于 su 需要了解新切换的用户口令 (常常是需要 root 的口令)， [color=red]sudo 的运行则仅需要自己的口令即可！[/color] 甚至可以配置不需要口令即可运行 sudo 呢！由于 sudo 可以让你以其他用户的身份运行命令 (通常是使用 root 的身份来运行命令)，因此[color=red]并非所有人都能够运行 sudo ， 而是仅有规范到 /etc/sudoers 内的用户才能够运行 sudo 这个命令喔！[/color]说的这么神奇，底下就来瞧瞧那 sudo 如何使用？
[size=small][b]sudo 的命令用法[/b][/size]
由于一开始系统默认[color=red]仅有 root 可以运行 sudo[/color] ，因此底下的范例我们先以 root 的身份来运行，等到谈到 visudo 时，再以一般使用者来讨论其他 sudo 的用法吧！ sudo 的语法如下：
[code="linux"]
# sudo [-b] [-u 新使用者账号]
选项与参数：
-b ：将后续的命令放到背景中让系统自行运行，而不与目前的 shell 产生影响
-u ：后面可以接欲切换的使用者，若无此项则代表切换身份为 root 。
范例一：你想要以 sshd 的身份在 /tmp 底下创建一个名为 mysshd 的文件
# sudo -u sshd touch /tmp/mysshd
# ll /tmp/mysshd
-rw-r--r-- 1 sshd sshd 0 Feb 28 17:42 /tmp/mysshd
# 特别留意，这个文件的权限是由 sshd 所创建的情况喔！
范例二：你想要以 vbird1 的身份创建 ~vbird1/www 并于其中创建 index.html 文件
# sudo -u vbird1 sh -c "mkdir ~vbird1/www; cd ~vbird1/www; \
> echo 'This is index.html file' > index.html"
# ll -a ~vbird1/www
drwxr-xr-x 2 vbird1 vbird1 4096 Feb 28 17:51 .
drwx------ 5 vbird1 vbird1 4096 Feb 28 17:51 ..
-rw-r--r-- 1 vbird1 vbird1 24 Feb 28 17:51 index.html
# 要注意，创建者的身份是 vbird1 ，且我们使用 sh -c "一串命令" 来运行的！
[/code]
[color=red]sudo 可以让你切换身份来进行某项任务[/color]，例如上面的两个范例。范例一中，我们的 root 使用 sshd 的权限去进行某项任务！ 要注意，因为我们无法使用『 su - sshd 』去切换系统账号 (因为系统账号的 shell 是 /sbin/nologin)， 这个时候 sudo 真是他 X 的好用了！立刻以 sshd 的权限在 /tmp 底下创建文件！查阅一下文件权限你就了解意义啦！ 至于范例二则更使用多重命令串 (透过分号 ; 来延续命令进行)，[color=orange]使用 sh -c 的方法来运行一连串的命令[/color]， 如此真是好方便！
但是 sudo 默认仅有 root 能使用啊！为什么呢？因为 sudo 的运行是这样的流程：
[color=red]A 当用户运行 sudo 时，系统于 /etc/sudoers 文件中搜寻该使用者是否有运行 sudo 的权限；[/color]
B 若使用者具有可运行 sudo 的权限后，便让使用者『输入用户自己的口令』来确认；
[color=red]C 若口令输入成功，便开始进行 sudo 后续接的命令(但 root 运行 sudo 时，不需要输入口令)；[/color]
D 若欲切换的身份与运行者身份相同，那也不需要输入口令。
所以说，sudo 运行的重点是：[color=red]『能否使用 sudo 必须要看 /etc/sudoers 的配置值， 而可使用 sudo 者是透过输入用户自己的口令来运行后续的命令串』喔！[/color]由于能否使用与 /etc/sudoers 有关， 所以我们当然要去编辑 sudoers 文件啦！不过，因为该文件的内容是有一定的规范的，因此直接使用 vi 去编辑是不好的。 此时，[color=red]我们得要透过 visudo 去修改这个文件喔！[/color]
[size=large][b]visudo 与 /etc/sudoers[/b][/size]
从上面的说明我们可以知道，除了 root 之外的其他账号，若想要使用 sudo 运行属于 root 的权限命令，[color=red]则 root 需要先使用 visudo 去修改 /etc/sudoers[/color] ，让该账号能够使用全部或部分的 root 命令功能。为什么要使用 visudo 呢？[color=red]这是因为 /etc/sudoers 是有配置语法的，如果配置错误那会造成无法使用 sudo 命令的不良后果。[/color]因此才会使用 visudo 去修改， 并在结束离开修改画面时，系统会去检验 /etc/sudoers 的语法就是了。
一般来说，visudo 的配置方式有几种简单的方法喔，底下我们以几个简单的例子来分别说明：
[size=small][b]单一用户可进行 root 所有命令，与 sudoers 文件语法：[/b][/size]
假如我们要让 vbird1 这个账号可以使用 root 的任何命令，那么可以简单的这样进行修改即可：
[code="linux"]
# visudo
....(前面省略)....
root ALL=(ALL) ALL <==找到这一行，大约在 76 行左右
vbird1 ALL=(ALL) ALL <==这一行是你要新增的！
....(前面省略)....
[/code]
有趣吧！[color=red]其实 visudo 只是利用 vi 将 /etc/sudoers 文件呼叫出来进行修改而已[/color]，所以这个文件就是 /etc/sudoers 啦！ 这个文件的配置其实很简单，如上面所示，如果你找到 76 行 (有 root 配置的那行) 左右，看到的数据就是：
使用者账号 登陆者的来源主机名=(可切换的身份) 可下达的命令
root ALL=(ALL) ALL <==这是默认值
上面这一行的四个组件意义是：
A 系统的哪个账号可以使用 sudo 这个命令的意思，默认为 root 这个账号；
B 当这个账号由哪部主机联机到本 Linux 主机，意思是这个账号可能是由哪一部网络主机联机过来的， 这个配置值可以指定客户端计算机(信任用户的意思)。默认值 root 可来自任何一部网络主机
[color=red]C 这个账号可以切换成什么身份来下达后续的命令，默认 root 可以切换成任何人；[/color]
D 可用该身份下达什么命令？这个命令请务必使用绝对路径撰写。 默认 root 可以切换任何身份且进行任何命令之意。
[color=red]那个 ALL 是特殊的关键词，代表任何身份、主机或命令的意思。[/color]所以，我想让 vbird1 可以进行任何身份的任何命令， 就如同上表特殊字体写的那样，其实就是复制上述默认值那一行，再将 root 改成 vbird1 即可啊！ 此时『vbird1 不论来自哪部主机登陆，他可以变换身份成为任何人，且可以进行系统上面的任何命令』之意。 修改完请储存后离开 vi，并以 vbird1 登陆系统后，进行如下的测试看看：
[vbird1@www ~]$ tail -n 1 /etc/shadow <==注意！身份是 vbird1
tail: cannot open `/etc/shadow' for reading: Permission denied
# 因为不是 root 嘛！所以当然不能查询 /etc/shadow
[vbird1@www ~]$ sudo tail -n 1 /etc/shadow <==透过 sudo
We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:
#1) Respect the privacy of others. <==这里仅是一些说明与警示项目
#2) Think before you type.
#3) With great power comes great responsibility.
Password: <==注意啊！这里输入的是『 vbird1 自己的口令 』
pro3:$1$GfinyJgZ$9J8IdrBXXMwZIauANg7tW0:14302:0:99999:7:::
# 看！vbird1 竟然可以查询 shadow ！
注意到了吧！vbird1 输入自己的口令就能够运行 root 的命令！所以，[color=red]系统管理员当然要了解 vbird1 这个用户的『操守』才行！[/color]否则随便配置一个用户，他恶搞系统怎办？另外，一个一个配置太麻烦了， 能不能使用群组的方式来配置呢？参考底下的方式吧。
[size=small][b]利用群组以及免口令的功能处理 visudo[/b][/size]
我们在本章前面曾经创建过 pro1, pro2, pro3 ，这三个用户能否透过群组的功能让这三个人可以管理系统？ 可以的，而且很简单！同样我们使用实际案例来说明：
[code="linux"]
# visudo <==同样的，请使用 root 先配置
....(前面省略)....
%wheel ALL=(ALL) ALL <==大约在 84 行左右，请将这行的 # 拿掉！
# 在最左边加上 % ，代表后面接的是一个『群组』之意！改完请储存后离开
# usermod -a -G wheel pro1 <==将 pro1 加入 wheel 的支持
[/code]
上面的配置值会造成『任何加入 wheel 这个群组的使用者，就能够使用 sudo 切换任何身份来操作任何命令』的意思。 你当然可以将 wheel 换成你自己想要的群组名。接下来，请分别切换身份成为 pro1 及 pro2 试看看 sudo 的运行。
[pro1@www ~]$ sudo tail -n 1 /etc/shadow <==注意身份是 pro1
....(前面省略)....
Password: <==输入 pro1 的口令喔！
pro3:$1$GfinyJgZ$9J8IdrBXXMwZIauANg7tW0:14302:0:99999:7:::
[pro2@www ~]$ sudo tail -n 1 /etc/shadow <==注意身份是 pro2
Password:
pro2 is not in the sudoers file. This incident will be reported.
# 仔细看错误信息他是说这个 pro2 不在 /etc/sudoers 的配置中！
这样理解群组了吧？如果你想要让 pro3 也支持这个 sudo 的话，不需要重新使用 visudo ，只要利用 usermod 去修改 pro3 的群组支持，让 wheel 也支持 pro3 的话，那他就能够进行 sudo 啰！ 简单吧！不过，既然我们都信任这些 sudo 的用户了，能否提供『不需要口令即可使用 sudo 』呢？ 就透过如下的方式：
[code="linux"]
# visudo <==同样的，请使用 root 先配置
....(前面省略)....
%wheel ALL=(ALL) NOPASSWD: ALL <==大约在 87 行左右，请将 # 拿掉！
# 在最左边加上 % ，代表后面接的是一个『群组』之意！改完请储存后离开
[/code]
重点是那个 NOPASSWD 啦！该关键词是免除口令输入的意思喔！
[size=small][b]有限制的命令操作：[/b][/size]
上面两点都会让使用者能够利用 root 的身份进行任何事情！这样总是不太好～如果我想要让用户仅能够进行部分系统任务， 比方说，系统上面的 myuser1 仅能够帮 root 修改其他用户的口令时，亦即『当使用者仅能使用 passwd 这个命令帮忙 root 修改其他用户的口令』时，你该如何撰写呢？可以这样做：
[code="linux"]
# visudo <==注意是 root 身份
myuser1 ALL=(root) /usr/bin/passwd <==最后命令务必用绝对路径
[/code]
上面的配置值指的是[color=red]『myuser1 可以切换成为 root 使用 passwd 这个命令』[/color]的意思。其中要注意的是： 命令字段必须要填写绝对路径才行！否则 visudo 会出现语法错误的状况发生！ 此外，上面的配置是有问题的！我们使用底下的命令操作来让您了解：
[myuser1@www ~]$ sudo passwd myuser3 <==注意，身份是 myuser1
Password: <==输入 myuser1 的口令
Changing password for user myuser3. <==底下改的是 myuser3 的口令喔！这样是正确的
New UNIX password:
Retype new UNIX password:
passwd: all authentication tokens updated successfully.
[myuser1@www ~]$ sudo passwd
Changing password for user root. <==见鬼！怎么会去改 root 的口令？
恐怖啊！我们竟然让 root 的口令被 myuser3 给改变了！下次 root 回来竟无法登陆系统...欲哭无泪～怎办？ 所以我们必须要限制用户的命令参数！修改的方法为将上述的那行改一改先：
[code="linux"]
# visudo <==注意是 root 身份
myuser1 ALL=(root) !/usr/bin/passwd, /usr/bin/passwd [A-Za-z]*, \
!/usr/bin/passwd root
[/code]
由于屏幕一行写不完，我将这行写成两行，所以上面第一行最后加上反斜杠啰。加上惊叹号『 ! 』代表『不可运行』的意思。 因此上面这一行会变成：可以运行『 passwd 任意字符』，但是『 passwd 』与『 passwd root 』这两个命令例外！ 如此一来 myuser1 就无法改变 root 的口令了！这样这位使用者可以具有 root 的能力帮助你修改其他用户的口令， 而且也不能随意改变 root 的口令！很有用处的！
转自：[url]http://vbird.dic.ksu.edu.tw/linux_basic/0410accountmanager_4.php[/url]
扫一扫
267
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
