在Linux系统中, Sudo是最重要的命令之一,关系到整个系统的操作安全。
sudo命令是用来以其它的身份来执行命令,预设的身份是root。配置文件是/etc/sudoers,权限为440,下面来了解下其基本设置:
[root@localhost sbin]# visudo
## Allow root to run any commands anywhere
root ALL=(ALL) ALL
zwj ALL=(ALL) NOPASSWD:ALL,! /usr/sbin/reboot,! /usr/sbin/poweroff,! /usr/bin/passwd root,! /usr/sbin/shutdown,! /bin/rm,!/usr/bin/su,!/usr/sbin/visudo
reboot ALL=(ALL) PASSWD:/usr/sbin/reboot
其中,绿色背景是增加的设置,可以看到用户zwj无法关机和重启,也无法修改root的密码,NOPASSWD:表示无需输入密码即可执行。!:表示取反的意思,即不允许执行。另外增加了一个用于系统重启的用户。
[zwj@localhost ~]$ sudo reboot
对不起,用户 zwj 无权以 root 的身份在 localhost.localdomain 上执行 /sbin/reboot。
[zwj@localhost ~]$ sudo poweroff
对不起,用户 zwj 无权以 root 的身份在 localhost.localdomain 上执行 /sbin/poweroff。
[zwj@localhost ~]$ sudo passwd zwj
对不起,用户 zwj 无权以 root 的身份在 localhost.localdomain 上执行 /bin/passwd zwj。
可以查看下用户所具有的sudo权限,更多参数请查看帮助sudo -h;
[zwj@localhost ~]$ sudo -l
匹配此主机上 zwj 的默认条目:
!visiblepw, always_set_home, env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR
USERNAME LANG LC_ADDRESS LC_CTYPE", env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY
LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY",
secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
用户 zwj 可以在该主机上运行以下命令:
(ALL) NOPASSWD: ALL, (ALL) !/usr/sbin/reboot, (ALL) !/usr/sbin/poweroff, (ALL) !/usr/bin/passwd [A-Za-z]*
如果要为用户设置具体的权限,可以这样设置:
## Allow root to run any commands anywhere
root ALL=(ALL) ALL
zwj ALL=(ALL) /sbin/useradd,/sbin/usermod
这样一来,操作的风险大为降低,当然也可以通过用户别名、命令别名来设置,较适合于权限划分很精细的公司。
转载于:https://blog.51cto.com/zengwj1949/1942365