sudo 与 visudo 的超细用法说明_陈发哥 007 的技术博客_51CTO 博客

> 本文由 [简悦 SimpRead](http://ksria.com/simpread/) 转码， 原文地址 [blog.51cto.com](https://blog.51cto.com/chenfage/1830424)

1 sudo 与 visudo

1.1 基本说明
--------

使用 su 命令切换用户身份虽然简单，但是，也有一些致命的缺点：

(1) 普通用户必须知道 root 密码才可以切换到 root，这样 root 密码就泄漏了。

(2) 使用 su 命令切换身份，无法对切换后的身份做精细的控制，拿到超级权限的人可以为所欲为。甚至可以改掉 root 密码，让真正的管理员无法再拥有 root 权限。

通过 sudo 命令，我们可以把某些超级用户权限，分类有针对性授权给指定的普通用户，并且普通用户不需要知道 root 密码就可以使用得到的授权来管理。因此，sudo 命令使得集权式管理在理论上得到了保证，使系统的安全性方面加强了很多。

### 1.1.1 区别

sudo：可以让普通用户拥有 root 权限去执行命令，sudo 的配置文件是 /etc/sudoers。

visudo：通过 visudo 编辑 /etc/sudoers，可以检查语法。

### 1.1.2 参数说明

*   ### **sudo**

-l：查看授权情况，列出用户在主机上可用的和被禁止的命令※

-k：删除时间戳，**时间戳默认 5 分钟**也会失效

-u：指定某个用户身份去执行特定的命令操作

*   **visudo：edit the sudoers file**

-c：检查语法※

### 1.1.3 sudo 提权配置说明

<table><tbody><tr><td>用户或组</td><td>机器 = （授权角色）</td><td>可以执行的命令</td></tr><tr><td>user</td><td>MACHINE=</td><td>COMMANDS</td></tr><tr><td>oldboy</td><td>ALL=(ALL)</td><td>/usr/sbin/useradd,/usr/sbin/userdel</td></tr><tr><td>% 用户组</td><td> </td><td> </td></tr></tbody></table>

### 1.1.4 配置 oldboy 用户拥有所有权限

[root@s1 ~]# visudo                  #<== 通过 visudo 编辑 /etc/sudoers

oldboy  ALL=(ALL)       NOPASSWD: ALL #<== 先切换到 98 行，再添加

[root@s1 ~]# su - oldboy           #<== 切换到 oldboy 用户

[oldboy@s1 ~]$ sudo su -           #<== 可以直接切换到 root，不需要密码

[root@s1 ~]#

1.2 快速操作命令增加 sudo 授权※
---------------------

\cp /etc/sudoers{,.ori}

echo "oldboy ALL=(ALL)       NOPASSWD:ALL">>/etc/sudoers

tail -1 /etc/sudoers

visudo -c

#<== 用 echo 追加时，最好要检查语法

1.3 sudo 配置文件详解
---------------

oldboy ALL=(ALL)       NOPASSWD: ALL

用户   主机 身份             命令

### 1.3.1 主机别名（Host Aliases）

一般不改，只用 ALL。

13 # Host_Alias    FILESERVERS = fs1, fs2     #<== 注意有空格

14 # Host_Alias    MAILSERVERS = smtp,smtp2

### 1.3.2 用户别名（User Aliases）

用户别名包含了**用户**和**用户组**。

20 # User_Alias ADMINS = jsmith, mikem, %groupname #<== 用户组前面加百分号

### 1.3.3 身份别名（Runas_Alias）

即 sudo 允许切换到的用户身份，一般不改

Runas_Alias   OP = root

### 1.3.4 命令别名（Command Aliases）

32 ## Services

33 # Cmnd_Alias SERVICES = /sbin/service, /sbin/chkconfig

1.4 sudo 配置文件实践
---------------

### 1.4.1 工作需求

<table><tbody><tr><td>职位</td><td>用户别名</td><td>身份别名</td><td>命令别名</td></tr><tr><td>开发人员</td><td>KF_ADMINS</td><td>OP1</td><td>KF_CMD</td></tr><tr><td>运维人员</td><td>YW_ADMINS</td><td>OP1</td><td>USER_CMD，DISK_CMD，NETMAG_CMD，CTRL_CMD</td></tr><tr><td>网络工程师</td><td>WL_ADMINS</td><td>OP2</td><td>NETMAG_CMD</td></tr></tbody></table>

### 1.4.2 操作过程

visudo    #<== 直接切换到最后一行，添加如下的内容，实际上修改的文件是：/etc/sudoers

##Edit by chendianhu at 2016-07-26##

# User Aliases

User_Alias KF_ADMINS =kaifa01, kaifa02

User_Alias YW_ADMINS =oldboy, oldgirl, %sa

User_Alias WL_ADMINS =leo, maya

# Command Aliases

Cmnd_Alias KF_CMD =/bin/grep, /usr/bin/tail, /bin/cat

Cmnd_Alias USER_CMD =/usr/sbin/useradd, /usr/sbin/userdel, \

/usr/bin/passwd[A-Za-z]*, /bin/chown, /bin/chmod

Cmnd_Alias DISK_CMD=/sbin/fdisk, /sbin/parted

Cmnd_Alias NETMAG_CMD =/sbin/ifconfig, /etc/init.d/network

Cmnd_Alias CTRL_CMD =/sbin/reboot, /sbin/halt

#Runas Alias

Runas_Alias    OP1 =root, oldboy

Runas_Alias    OP2 = root, oldgirl

#Authorization

#root    ALL=(ALL)       ALL

#user    host runas      cmd

KF_ADMINS  ALL=(OP1) KF_CMD

YW_ADMINS  ALL=(OP1) USER_CMD, DISK_CMD, NETMAG_CMD, CTRL_CMD

WL_ADMINS  ALL=(OP2)  NETMAG_CMD

#<== 注意写法 ALL=(OP2)，因为写错了，需要排查很久的！

### 1.4.3 验证过程

#### 1.4.3.1 添加用户

useradd kaifa01

useradd kaifa02

useradd oldgirl

useradd leo

useradd maya

#### 1.4.3.2 验证添加用户

id kaifa01

id kaifa02

id oldgirl

id leo

id maya

#### 1.4.3.3 配置密码

echo "123456"|passwd --stdin kaifa01

echo "123456"|passwd --stdin kaifa02

echo "123456"|passwd --stdin oldgirl

echo "123456"|passwd --stdin leo

echo "123456"|passwd --stdin maya

#### 1.4.3.4 以 oldgirl 用户为例

[root@s1 ~]# su - oldgirl  #<== 切换用户 oldgirl

[oldgirl@s1 ~]$ whoami

oldgirl

[oldgirl@s1 ~]$ sudo -l   #<== 查看该用户授权情况

[sudo] password for oldgirl:

省略……

用户 oldgirl 可以在该主机上运行以下命令：

**(root, oldboy) /usr/sbin/useradd,/usr/sbin/userdel, /usr/bin/passwd [A-Za-z]*, /bin/chown, /bin/chmod, (root,****oldboy)/sbin/fdisk, /sbin/parted, (root, oldboy) /sbin/ifconfig, /etc/init.d/network,(root, oldboy) /sbin/reboot,**

/sbin/halt

[oldgirl@s1 ~]$ rm -f /etc/hosts  #<== 删除命令**肯定**不允许

rm: 无法删除 "/etc/hosts": 权限不够

[oldgirl@s1 ~]$ useradd li       #<== 添加用户，不允许

-bash: /usr/sbin/useradd: 权限不够

[oldgirl@s1 ~]$ sudo useradd li   #<== 添加用户，允许，因为前面加了 sudo 关键字

[oldgirl@s1 ~]$ id li

uid=506(li) gid=506(li) 组 = 506(li)

[oldgirl@s1 ~]$ tail -1 /etc/passwd

li:x:506:506::/home/li:/bin/bash

[oldgirl@s1 ~]$ userdel li      #<== 删除用户，不允许

-bash: /usr/sbin/userdel: 权限不够

[oldgirl@s1 ~]$ sudo userdel li -r  #<== 删除用户，允许，因为前面加了 sudo 关键字

[oldgirl@s1 ~]$ id li

id: li：无此用户

1.5 注意事项
--------

(1) 授权规则中的 ALL 字符串必须为大写字母

(2) \：代表换行（反斜线）

(3) !：代表非（感叹号）

(4) 远程 sudo 加 -t 参数

1.6 sudo 审计
-----------

**sudo** **配合 rsyslog** **服务，进行日志审计。**

### 1.6.1 检查软件是否已安装

[oldgirl@s1 ~]$ **rpm -qa sudo rsyslog**

rsyslog-5.8.10-10.el6_6.x86_64

sudo-1.8.6p3-19.el6.x86_64

### 1.6.2 配置 / etc/sudoers

[root@s1 ~]# echo "Defaults   logfile=/var/log/sudo.log">>/etc/sudoers

#<== 只需要往配置文件里加一条记录，**超级简单**！

[root@s1 ~]# tail -1 /etc/sudoers    #<== 验证

Defaults   logfile=/var/log/sudo.log

[root@s1 ~]# visudo -c             #<== 检查语法

/etc/sudoers：解析正确

### 1.6.3 验证

[root@s1 ~]#**su - oldgirl**          #<== 切换到 oldgirl 用户

[oldgirl@s1 ~]$ **sudo -l** #<== 列出能执行的命令

省略……

用户 oldgirl 可以在该主机上运行以下命令：

(root,oldboy) /usr/sbin/useradd, /usr/sbin/userdel, /usr/bin/passwd [A-Za-z]*,/bin/chown, /bin/chmod, (root,oldboy)/sbin/fdisk, /sbin/parted, (root, oldboy) /sbin/ifconfig, /etc/init.d/network,(root, oldboy) /sbin/reboot, /sbin/halt

[oldgirl@s1 ~]$ **sudo useradd wang** #<==sudo 来执行添加用户命令

[oldgirl@s1 ~]$ **su -**        #<== 切换回 root

密码：

[root@s1 ~]# cat /var/log/sudo.log    #<== 查看 sudo 审计日志

Jul 26 20:31:46 : oldgirl : TTY=pts/0 ;PWD=/home/oldgirl ; USER=root ;

COMMAND=**list** #<==oldgirl 用户的 sudo 操作行为，被记录下来了

Jul 26 20:32:02 : oldgirl : TTY=pts/0 ;PWD=/home/oldgirl ; USER=root ;

COMMAND=**/usr/sbin/useradd wang** #<==oldgirl 的操作行为，会全部被记录下来

[oldgirl@s1 root]$ **sudo rm -f /etc/hosts** #<==rm 命令不允许执行

[sudo] password for oldgirl:

对不起，用户 oldgirl 无权以 root 的身份在 s1 上执行 /bin/rm -f /etc/hosts。

[root@s1 ~]# cat /var/log/sudo.log       #<== 查看 sudo 审计日志

Jul 26 20:31:46 : oldgirl : TTY=pts/0 ;PWD=/home/oldgirl ; USER=root ;

COMMAND=list

Jul 26 20:32:02 : oldgirl : TTY=pts/0 ;PWD=/home/oldgirl ; USER=root ;

COMMAND=/usr/sbin/useradd wang

Jul 26 20:37:40 : **oldgirl** : 命令禁止使用 ; TTY=pts/0 ; PWD=/root ;

USER=root ; COMMAND=**/bin/rm -f /etc/hosts** #<== 操作失败的命令，也会被记下来