@[toc]

前言🚀🚀🚀
想要学好Linux，命令是基本功，企业中常用的命令大约200多个，不管是写shell脚本还是管理操作系统，最常用的命令必须要牢牢掌握，像我们以前学乘法口诀一样，烂熟于心，唯有如此，才能打牢基础。
💓 知识最重要的是记忆
💓 入门须知：想要人生从容，必须全力以赴，努力才是你最终的入场券🚀🚀🚀
💕 最后：努力成长自己，愿我们都能在看不到的地方闪闪发光，一起加油进步🍺🍺🍺

一.sudo命令介绍

sudo命令来自于英文词组“super user do”的缩写，中文译为“超级用户才能干的事”.

sudo的功能是用于授权普通用户执行管理员命令，允许普通用户执行一些或者全部的root命令，如halt，reboot，shutdown、init等等。

这样不仅减少了root用户的登陆和管理时间，同样也提高了安全性。sudo是对Shell的一个代替，它是面向每个命令的。

sudo 与su命令最大的不同就是：

使用su命令变更用户身份需要将管理员的账户密码告诉他人，总感觉心里不踏实，这时候有了sudo命令的用武之地。

使用sudo服务可以授权某个指定的用户去执行某些指定的命令，在满足工作需求的前提下尽可能少的放权，保证服务器的安全。

配置sudo必须通过编辑/etc/sudoers文件，而且只有超级用户才可以修改它。

sudo的主要特性：

sudo能够限制用户只在某台主机上运行某些命令。
sudo提供了丰富的日志，详细地记录了每个用户干了什么。它能够将日志传到中心主机或者日志服务器。
sudo使用时间戳文件日志来执行类似的“检票”系统。当用户调用sudo并且输入他的密码时，用户获得了一张存活期为5分钟的票（这个值可以在/etc/sudoers设置）
sudo的配置文件是/etc/sudoers，属性必须为0440，它允许系统管理员集中地管理用户的使用权限和使用主机。

二. 语法格式及常用选项

我们用sudo --help 来查看语法格式和常用的命令：

[root@mufenggrow ~]# sudo --help
sudo - 以其他用户身份执行一条命令

usage: sudo -h | -K | -k | -V
usage: sudo -v [-AknS] [-g group] [-h host] [-p prompt] [-u user]
usage: sudo -l [-AknS] [-g group] [-h host] [-p prompt] [-U user] [-u user] [command]
usage: sudo [-AbEHknPS] [-r role] [-t type] [-C num] [-g group] [-h host] [-p prompt] [-T timeout] [-u user]
            [VAR=value] [-i|-s] [<command>]
usage: sudo -e [-AknS] [-r role] [-t type] [-C num] [-g group] [-h host] [-p prompt] [-T timeout] [-u user] file
            ...

选项：
  -A, --askpass                 使用助手程序进行密码提示
  -b, --background              在后台运行命令
  -C, --close-from=num          关闭所有 >= num 的文件描述符
  -E, --preserve-env            在执行命令时保留用户环境
      --preserve-env=list       保留特定的环境变量
  -e, --edit                    编辑文件而非执行命令
  -g, --group=group             以指定的用户组或 ID 执行命令
  -H, --set-home                将 HOME 变量设为目标用户的主目录。
  -h, --help                    显示帮助消息并退出
  -h, --host=host               在主机上运行命令(如果插件支持)
  -i, --login                   以目标用户身份运行一个登录 shell；可同时指定一条命令
  -K, --remove-timestamp        完全移除时间戳文件
  -k, --reset-timestamp         无效的时间戳文件
  -l, --list                    列出用户权限或检查某个特定命令；对于长格式，使用两次
  -n, --non-interactive         非交互模式，不提示
  -P, --preserve-groups         保留组向量，而非设置为目标的组向量
  -p, --prompt=prompt           使用指定的密码提示
  -r, --role=role               以指定的角色创建 SELinux 安全环境
  -S, --stdin                   从标准输入读取密码
  -s, --shell                   以目标用户运行 shell；可同时指定一条命令
  -t, --type=type               以指定的类型创建 SELinux 安全环境
  -T, --command-timeout=timeout 在达到指定时间限制后终止命令
  -U, --other-user=user         在列表模式中显示用户的权限
  -u, --user=user               以指定用户或 ID 运行命令(或编辑文件)
  -V, --version                 显示版本信息并退出
  -v, --validate                更新用户的时间戳而不执行命令
  --                            停止处理命令行参数

sudo对很多人来说，是一个超级复杂的命令，其实不是因为命令有多难，而是因为命令本身还需要配置文件。

三. sudo配置文件详解

3.1 sudo的配置文件

sudo默认配置文件是: /etc/sudoers

一般使用Linux指定编辑工具visudo ，此工具的好处是可以进行错误检查。

在使用visudo添加规则不符合语法规则时，保存退出时会提示给我们错误信息；配置好后，可以用切换到您授权的普通用户下，通过sudo -l来查看哪些命令是可以执行的或禁止的；

/etc/sudoers 文件中每行是一个规则，前面带有#号可以当作是注释的内容，并不执行；如果规则很长，可以写在多列上，可以用\号来续行。
/etc/sudoers 的规则可分为两类：
一类是授权规则
另一类是别名定义；
别名定义并不是必须的，但授权规则是必须的；

3.2 配置文件注释

我们一起来查看下配置文件，此配置文件基于centos7.9

[root@mufeng ~]# cat /etc/sudoers
## Sudoers allows particular users to run various commands as
## the root user, without needing the root password.
##该文件允许特定用户像root用户一样使用各种各样的命令，而不需要root用户的密码 
## Examples are provided at the bottom of the file for collections
## of related commands, which can then be delegated out to particular
## users or groups.
## 在文件的底部提供了很多相关命令的示例以供选择，这些示例都可以被特定用户或  
## ## 用户组所使用  
## This file must be edited with the 'visudo' command.
## 该文件必须使用"visudo"命令编辑

## Host Aliases
#主机别名
## Groups of machines. You may prefer to use hostnames (perhap using 
## wildcards for entire domains) or IP addresses instead.
## 对于一组服务器，你可能会更喜欢使用主机名（可能是全域名的通配符）
## 或IP地址代替，这时可以配置主机别名
  
# Host_Alias     FILESERVERS = fs1, fs2
# Host_Alias     MAILSERVERS = smtp, smtp2
## User Aliases
#用户别名
## These aren't often necessary, as you can use regular groups
## (ie, from files, LDAP, NIS, etc) in this file - just use %groupname 
## rather than USERALIAS
## 这并不很常用，因为你可以通过使用组来代替一组用户的别名  
# User_Alias ADMINS = jsmith, mikem


## Command Aliases
## These are groups of related commands...
## 指定一系列相互关联的命令（当然可以是一个）的别名，通过赋予该别名sudo权限，  
## 可以通过sudo调用所有别名包含的命令，下面是一些示例


## Networking
#网络操作相关命令别名  
Cmnd_Alias NETWORKING = /sbin/route, /sbin/ifconfig, /bin/ping, /sbin/dhclient,
 /usr/bin/net, /sbin/iptables, /usr/bin/rfcomm, /usr/bin/wvdial, /sbin/iwconfig, 
 /sbin/mii-tool

## Installation and management of software
#软件安装管理相关命令别名  
Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/up2date, /usr/bin/yum

## Services
#服务相关命令别名 
Cmnd_Alias SERVICES = /sbin/service, /sbin/chkconfig

## Updating the locate database
#本地数据库升级命令别名  
Cmnd_Alias LOCATE = /usr/sbin/updatedb

## Storage
#磁盘操作相关命令别名
Cmnd_Alias STORAGE = /sbin/fdisk, /sbin/sfdisk, /sbin/parted, /sbin/partprobe, /bin/mount, /bin/umount

## Delegating permissions
#代理权限相关命令别名 
Cmnd_Alias DELEGATING = /usr/sbin/visudo, /bin/chown, /bin/chmod, /bin/chgrp

## Processes
#进程相关命令别名
Cmnd_Alias PROCESSES = /bin/nice, /bin/kill, /usr/bin/kill, /usr/bin/killall

## Drivers
#驱动命令别名
Cmnd_Alias DRIVERS = /sbin/modprobe
#环境变量的相关配置
# Defaults specification

#
# Disable "ssh hostname sudo <cmd>", because it will show the password in clear. 
#         You have to run "ssh -t hostname sudo <cmd>".
#
Defaults    requiretty

Defaults    env_reset
Defaults    env_keep = "COLORS DISPLAY HOSTNAME HISTSIZE INPUTRC KDEDIR \
                        LS_COLORS MAIL PS1 PS2 QTDIR USERNAME \
                        LANG LC_ADDRESS LC_CTYPE LC_COLLATE LC_IDENTIFICATION \
                        LC_MEASUREMENT LC_MESSAGES LC_MONETARY LC_NAME LC_NUMERIC \
                        LC_PAPER LC_TELEPHONE LC_TIME LC_ALL LANGUAGE LINGUAS \
                        _XKB_CHARSET XAUTHORITY"

## Next comes the main part: which users can run what software on
## which machines (the sudoers file can be shared between multiple
## systems).
## 下面是规则配置：什么用户在哪台服务器上可以执行哪些命令（sudoers文件可以在多个系统上共享）
## Syntax:
##语法
##      user    MACHINE=COMMANDS
##  用户 登录的主机=（可以变换的身份） 可以执行的命令  
##
## The COMMANDS section may have other options added to it.
## 命令部分可以附带一些其它的选项  
##
## Allow root to run any commands anywhere 
## 允许root用户执行任意路径下的任意命令 
root    ALL=(ALL)       ALL

## Allows members of the 'sys' group to run networking, software,
## service management apps and more.
# %sys ALL = NETWORKING, SOFTWARE, SERVICES, STORAGE, DELEGATING, PROCESSES, LOCATE, DRIVERS
## 允许sys中户组中的用户使用NETWORKING等所有别名中配置的命令
  
## Allows people in group wheel to run all commands
# %wheel        ALL=(ALL)       ALL
## 允许wheel用户组中的用户执行所有命令  
## Same thing without a password
## 允许wheel用户组中的用户在不输入该用户的密码的情况下使用所有命令
# %wheel        ALL=(ALL)       NOPASSWD: ALL

## Allows members of the users group to mount and unmount the
## cdrom as root
## 允许users用户组中的用户像root用户一样使用mount、unmount、chrom命令 
# %users  ALL=/sbin/mount /mnt/cdrom, /sbin/umount /mnt/cdrom

## Allows members of the users group to shutdown this system
# %users  localhost=/sbin/shutdown -h now
## 允许users用户组中的用户像root用户一样使用shutdown命令

visudo –c 命令具有语法检查功能

别名类型（Alias_Type）：别名类型包括如下

Host_Alias 定义主机别名；
User_Alias 用户别名，别名成员可以是用户，用户组（前面要加%号）
Runas_Alias 用来定义runas别名，这个别名指定的是“目的用户”，即sudo 允许切换至的用户；
Command_Alias 定义命令别名；

如果一个别名下有多个成员，成员与成员之间，通过半角逗号分隔；且成员必须是可以通过w查看到的主机名或者IP地址，用户名需要在/etc/passwd中真是存在。

3.3 sudo授权规则

授权规则是分配权限的执行规则，我们前面所讲到的定义别名主要是为了更方便的授权引用别名；如果系统中只有几个用户，其实下放权限比较有限的话，可以不用定义别名，而是针对系统用户直接直接授权，所以在授权规则中别名并不是必须的；

在 man sudoers里详细介绍了sudo的授权规则，我们一起来学习：

格式：授权用户主机=命令动作

这三个要素缺一不可，但在动作之前也可以指定切换到特定用户下，在这里指定切换的用户要用括号括起来，如果不需要密码直接运行命令的，应该加NOPASSWD参数

案例一：

[root@mufenggrow ~]# grep mufeng /etc/sudoers
mufeng  ALL=/usr/bin/chown,/usr/bin/chmod
[root@mufenggrow ~]#

如果我们在/etc/sudoers 中添加这一行，表示mufeng可以在任何可能出现的主机名的系统中，可以切换到root用户下执行 /bin/chown 和/bin/chmod 命令，通过sudo -l 来查看

[mufeng@mufenggrow ~]$ sudo -l
[sudo] mufeng 的密码：
匹配 %2$s 上 %1$s 的默认条目：
    !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin, env_reset, env_keep="COLORS
    DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS
    LC_CTYPE", env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY
    LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET
    XAUTHORITY", secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin

用户 mufeng 可以在 mufenggrow 上运行以下命令：
    (root) /usr/bin/chown, /usr/bin/chmod
[mufeng@mufenggrow ~]$

案例二

mufeng    ALL=(root)/usr/bin/chown,/usr/bin/chmod

表示mufeng用户可以切换到root执行chown，可以切换到任何用户执行chmod

案例三：

mufeng    ALL=(root) NOPASSWD/usr/bin/chown,/usr/bin/chmod

表示mufeng可以切换到root下执行chown，不需要输入密码，并且可以切换到任何用户中执行chmod命令。但执行chmod命令的时候需要输入密码。

案例四
如果mufeng不是用户而是用户组，就需要加%

%mufeng    ALL=(root)/usr/bin/chown,/usr/bin/*

这里表示mufeng这个用户组下的用户，后面的*表示 bin下所有的命令

四. sudo常用参数实战参考案例

创建测试用户：

[root@mufenggrow ~]# useradd mufeng
[root@mufenggrow ~]# echo 12345678 |passwd --stdin mufeng
更改用户 mufeng 的密码 。
passwd：所有的身份验证令牌已经成功更新。
[root@mufenggrow ~]# su - mufeng
[mufeng@mufenggrow ~]$ whoami
mufeng

4.1 查看当前用户有哪些被sudo服务授权的命令

此时可以使用 -l 参数，此处是L的小写。
我们来看案例：

[mufeng@mufenggrow ~]$ sudo -l
[sudo] mufeng 的密码：
匹配 %2$s 上 %1$s 的默认条目：
    !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin, env_reset, env_keep="COLORS
    DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS
    LC_CTYPE", env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY
    LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET
    XAUTHORITY", secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin

用户 mufeng 可以在 mufenggrow 上运行以下命令：
    (root) /usr/bin/chown, /usr/bin/chmod

可以直接在visudo 里设置，注意：执行visudo就可以直接打开配置文件，不要在前面加vim。配置方法和/etc/sudoers 一样

4.2 结束密码的有效期

sudo命令第一次执行一个命令时，是需要加密码的，第二次在执行这个命令就无须加密码了，当我们使用-k参数，结束密码有效期后，在执行就需要使用密码了。

参考案例：

[root@mufenggrow ~]# su - mufeng
上一次登录：一 1月 30 19:47:47 CST 2023pts/0 上
[mufeng@mufenggrow ~]$ sudo useradd test1
[sudo] mufeng 的密码：
#可以看到第一次需要输入密码，下面第二次就不需要使用密码了
[mufeng@mufenggrow ~]$ sudo useradd test2
# 取消密码有效期
[mufeng@mufenggrow ~]$ sudo -k
[mufeng@mufenggrow ~]$ sudo useradd test3
[sudo] mufeng 的密码：
[mufeng@mufenggrow ~]$

4.3 限制用户的权限

限制mufeng的权限，让mufeng只能执行chmod命令

[root@mufenggrow ~]# visudo

在这里插入图片描述
第一个ALL是指网络中的主机。第二个括号里的ALL是指目标用户，也就是以谁的身份去执行命令。最后一个ALL是指令名。

所以此处 mufenggrow就是主机名，也就是主机。

总结

关于sudo的内容,分成两个部分来写，本篇是关于sudo命令实战的基础部分，后续还有关于sudo的审计和日志。

💕💕💕 好啦，这就是今天要分享给大家的全部内容了，我们下期再见！✨ ✨ ✨
🍻🍻🍻如果你喜欢的话，就不要吝惜你的一键三连了~

请添加图片描述
在这里插入图片描述

linux基本功系列之sudo命令实战一

一.sudo命令介绍

二. 语法格式及常用选项

三. sudo配置文件详解

3.1 sudo的配置文件

3.2 配置文件注释

3.3 sudo授权规则

四. sudo常用参数实战参考案例

4.1 查看当前用户有哪些被sudo服务授权的命令

4.2 结束密码的有效期

4.3 限制用户的权限

总结

热门文章

最新文章

相关课程

相关电子书

相关实验场景

推荐镜像

热门

活动广场

任务中心

开发者评测

高校计划

乘风者计划

训练营

阿里云MVP

话题

直播

下载

镜像站

技术资料

插件

linux基本功系列之sudo命令实战一

一.sudo命令介绍

二. 语法格式及常用选项

三. sudo配置文件详解

3.1 sudo的配置文件

3.2 配置文件注释

3.3 sudo授权规则

四. sudo常用参数实战 参考案例

4.1 查看当前用户有哪些被sudo服务授权的命令

4.2 结束密码的有效期

4.3 限制用户的权限

总结

热门文章

最新文章

相关课程

相关电子书

相关实验场景

推荐镜像

四. sudo常用参数实战参考案例