linux用户切换su,sudo以及sudoer的配置
切换用户一般有两个命令：
1. su命令
su命令不加参数，默认切到root用户，需要输入root用户密码进行验证，
su命令可以加一个“-”再加上用户名，此时，不但身份变化了，同时也拥有了此用户的“用户环境”，比如用户家目录以及此用户的其它个性化设置。
普通用户切换其它用户需要知道其它用户的密码，root用户使用su命令切换其它用户，不需要知道用户密码
2. sudo命令
执行sudo -u <用户名> <命令>, 将允许当前用户，提权到<用户名>的身份，再执行后面的<命令>, 即使<命令>原本需要root权限。
提权到<用户名>身份时，是以<用户名>的身份来执行命令的，因此创建的文件默认属于<用户名>用户。
如果不带-u, 则默认使用root用户，而大多数时候sudo都是要提权到root的，所以-u <用户名>可以省略为:
需要注意的是: 执行sudo时输入的密码是当前用户的密码, 并非<用户名>的密码。
sudo -u <用户名>和su - <用户名>相比:
前者需要输入当前用户的密码，提权到<用户名>身份执行命令后返回当前用户;
后者则是输入目标用户的密码，切换到目标用户。
赋予用户sudo操作的权限
通过useradd添加的用户，并不具备sudo权限。在ubuntu/centos等系统下, 需要将用户加入admin组或者wheel组或者sudo组。
以root用户身份执行如下命令, 将用户加入wheel/admin/sudo组:
usermod -a -G wheel <用户名>
如果提示wheel组不存在, 则还需要先创建该组:
groupadd wheel
sudo的权限控制可以在/etc/sudoers文件中查看到。
一般来说，通过cat /etc/sudoers指令来查看该文件, 会看到如下几行代码:
root ALL=(ALL:ALL) ALL %wheel ALL=(ALL) ALL %sudo ALL=(ALL:ALL) ALL
授权公式
凡是[ ]中的内容, 都能省略; 命令和命令之间用,号分隔;
授权用户/组 主机 =[(切换到哪些用户或组)] [是否需要输入密码验证] 命令1,命令2,...
字段1 字段2 =[(字段3)] [字段4] 字段5
在上面的默认例子中：
"字段1"不以%号开头的表示"将要授权的用户", 比如例子中的root；以%号开头的表示"将要授权的组", 比如例子中的%wheel组 和 %sudo组。
"字段2"表示允许登录的主机, ALL表示所有; 如果该字段不为ALL,表示授权用户只能在某些机器上登录本服务器来执行sudo命令. 比如:
jack mycomputer=/usr/sbin/reboot,/usr/sbin/shutdown
表示: 普通用户jack在主机(或主机组)mycomputer上, 可以通过sudo执行reboot和shutdown两个命令。"字段3"和"字段4"省略。
"字段3"如果省略, 相当于(root:root)，表示可以通过sudo提权到root; 如果为(ALL)或者(ALL:ALL), 表示能够提权到(任意用户:任意用户组)。
请注意，"字段3"如果没省略,必须使用( )双括号包含起来。这样才能区分是省略了"字段3"还是省略了"字段4"。
"字段4"的可能取值是NOPASSWD:。请注意NOPASSWD后面带有冒号:。表示执行sudo时可以不需要输入密码。比如:
lucy ALL=(ALL) NOPASSWD: /bin/useradd
表示: 普通用户lucy可以在任何主机上, 通过sudo执行/bin/useradd命令, 并且不需要输入密码.
"字段5"是使用逗号分开一系列命令,这些命令就是授权给用户的操作; ALL表示允许所有操作。
你可能已经注意到了, 命令都是使用绝对路径, 这是为了避免目录下有同名命令被执行，从而造成安全隐患。
例子1:NOPASSWD说明
papi ALL=(root) NOPASSWD: /bin/chown,/usr/sbin/useradd
表示: 用户papi能在所有可能出现的主机上, 提权到root下执行/bin/chown, 不必输入密码; 但运行/usr/sbin/useradd 命令时需要密码.
这是因为NOPASSWD:只影响了其后的第一个命令: 命令1.
例子2:通配符和取消命令
papi ALL=/usr/sbin/*,/sbin/*,!/usr/sbin/fdisk
用例子2来说明通配符*的用法, 以及命令前面加上!号表示取消该命令。
该例子的意思是: 用户papi在所有可能出现的主机上, 能够运行目录/usr/sbin和/sbin下所有的程序, 但fdisk除外.
给用户分配sudo权限
强烈建议通过visudo命令来修改该文件，通过visudo修改，如果配置出错，会有提示。
不过，系统文档推荐的做法，不是直接修改/etc/sudoers文件，而是将修改写在/etc/sudoers.d/目录下的文件中。
如果使用这种方式修改sudoers，需要在/etc/sudoers文件的最后行，加上#includedir /etc/sudoers.d一行(默认已有):
#includedir /etc/sudoers.d
注意了：
这里的指令#includedir是一个整体, 前面的#号不能丢，并非注释，也不能在#号后有空格。
任何在/etc/sudoers.d/目录下，不以~号结尾的文件和不包含.号的文件，都会被解析成/etc/sudoers的内容。
输入密码时无反馈
当使用sudo后输入密码，并不会显示任何东西 —— 甚至连常规的星号都没有。有个办法可以解决该问题。
打开/etc/sudoers文件找到下述一行:
Defaults env_reset #修改成: Defaults env_reset,pwfeedback
修改sudo会话时间
如果你经常使用sudo 命令，你肯定注意到过当你成功输入一次密码后，可以不用再输入密码就可以运行几次sudo命令。
但是一段时间后，sudo 命令会再次要求你输入密码。默认是15分钟，该时间可以调整。添加timestamp_timeout=分钟数即可。
时间以分钟为单位，-1表示永不过期，但强烈不推荐。
比如我希望将时间延长到1小时，还是打开/etc/sudoers文件找到下述一行:
Defaults env_reset 修改成: Defaults env_reset,pwfeedback,timestamp_timeout=60
共 0 条评论