sudo工具的使用

sudo 是允许系统管理员让普通用户执行一些或者全部的 root 命令的一个工具

使用 sudo 的好处 :

l        由于有命令日志 , 极大地提高了安全审计的能力 !

l        操作员不需要不受限制的 root 特权就能完成许多任务 ;

l        真正的 root 口令可以只让一两个人知道

l        维护一个具有 root 特权的所有用户的规范列表

l         可以使用单个文件来控制对整个网络的访问权限

Sudo 的配置文件是 sudoers 文件，它允许系统管理员集中管理用户的使用权限和使用的主机。它所存放的位置默认是在 /etc/sudoers ，属性必须为 0411

sudo 采用的命令行作为参数 , 然后以 root 身份执行 sudo 读取配置文件 /etc/sudoers, 这个文件列出了授权使用 sudo 的人以及允许他们在每台机上运行的命令。如果提供给 sudo 的命令允许运行，那么 sudo 就提示输入这个用户自己的口令并执行命令。使用 sudo 的用户随后可以执行其他一些命令而不用再输入口令，除非在超过 5 分钟的时间内该用户没有再使用 sudo 。

二、安装
检测是否安装了 SUDO:
[root@localhost ~]# rpm -q sudo
sudo-1.6.8p12-4.1

如果没有安装 , 下载软件包进行安装 :
对于大多数系统来说， sudo 的配置都是相对比较简单的：
0) $> cd /;cp sudo-1.6.8p12.tar.gz /
1) $> tar vxzf sudo-1.6.8p12.tar.gz
2) 如果是从低版本升级的话，升级之前请仔细阅读 UPGRADE 文件。
3) 如果你在编译之前，已经为另外一台不同的主机运行了 ’configure’ ，你必须用 make distclean 清除 ’config.cache’ 文件。否则， ’configure’ 将不能再运行。你也可以直接 ’rm config.cache’.
4) 阅读 ’OS dependent notes’ 看是否支持你的系统。
5) $> cd sudo-8p12
6) 阅读 configure 文件，仔细看其中的 ’Available configure options’ 部分，看是否要加一些特殊的选项。这里选项很多，不过常用的主要有这么几个主要的配置参数 :
--with-pam 支持使用 PAM, 使用该选项时要求一个有效的 /etc/pam.d/sudo 文件
--cache-file=FILE 将缓存 test 的结果存到 FILE 文件中。
--help 打印帮助。
--no-create 不要输出 .o 文件
--quiet, --silent 不打印 ’checking…’ 信息
--exec-prefix=EPREFIX 设置包含 sudo 和 visudo 命令的目录
--bindir=DIR 将 sudo 命令安装到 EPREFIX/bin
--sbindir=DIR 将 visudo 命令安装到 EPREFIX/bin
--sysconfdir=DIR 将 sudoers 配置文件安装到 DIR ，默认为 /etc.
--mandir=DIR 将 man 文件安装到 DIR ，默认为 /man.
--with-CC=path 指定你要使用的 c 编译器的路径。
--with-skey 支持 S/Key OTP( 一次使用密码 )
--with-opie 支持 NRL OPIE OTP( 一次使用密码 )
--disable-shadow 不支持 shadow 密码的系统的选项开关， sudo 默认是编译并使用 shadow 密码的。
--with-sudoers-mode=mode sudoers 配置文件模式，默认为 0440 。
--with-sudoers-uid sudoers 配置文件的所有者 id ，默认为 0
--with-sudoers-gid sudoers 配置文件的所有者的组 id ，默认为 0
--without-passwd 用户认证无须密码。
--with-logging=TYPE 日志类型，可以选择 ’syslog’ 、 ’file’ 或者两种都可以。
--with-logpath=path 日志存放的路径和文件名，默认为 /var/log/sudo.log
--with-umask 在运行 root 命令是用 umask ，默认的 umask 是 0022
--with-passwd-tries=tries sudo 写入 log 日志前提示输入密码的次数，默认为 3 次。
--with-timeout=minutes sudo 提示输入密码之前的时间，默认为 5 分钟
--with-password-timeout=minutes 密码的有效期，默认为 5 分钟， 0 表示密码永远有效。
--without-lecture 第一次运行 sudo 不打印 lecture 信息
--disable-root-sudo root 用户不能运行 sudo 。
--enable-log-host 记录主机 host 到日志文件
--disable-path-info 出错时，不显示 sudo 的路径。
如 输入： ./configure --with-timeout=10 --without-lecture --disable-root-sudo --disable-path-info --sysconfdir=/home/config/ --bindir=/bin --sbindir=/sbin
7) make
8) make install

二 , 配置 ,
编辑配置文件命令 :visudo
默认配置文件位置 :/etc/sudoers
[root@localhost ~]# cat /etc/sudoers
# sudoers file.
#
# This file MUST be edited with the 'visudo' command as root.
#
# See the sudoers man page for the details on how to write a sudoers file.
#

# Host alias specification

# User alias specification

# Cmnd alias specification

# Defaults specification

# Runas alias specification

# User privilege specification
root    ALL=(ALL) ALL

# Uncomment to allow people in group wheel to run all commands
# %wheel        ALL=(ALL)       ALL

# Same thing without a password
# %wheel        ALL=(ALL)       NOPASSWD: ALL

# Samples
# %users  ALL=/sbin/mount /cdrom,/sbin/umount /cdrom
# %users  localhost=/sbin/shutdown -h now
[root@localhost ~]#

可以用 visudo 编辑 sudoers 配置文件，不过也可以直接通过修改 sudoers 文件实现，不过编辑之前最好看一下它的 sample.sudoers 文件，里面有一个相当详细的例子可以参考。
＃第一部分：用户定义，将用户分为 FULLTIMERS 、 PARTTIMERS 和 WEBMASTERS 三类。
User_Alias FULLTIMERS = millert, mikef, dowdy
User_Alias PARTTIMERS = bostley, jwfox, crawl
User_Alias WEBMASTERS = will, wendy, wim
＃第二部分，将操作类型分类。
Runas_Alias OP = root, operator
Runas_Alias DB = oracle, sybase
# 第三部分，将主机分类。这些都是随便分得，目的是为了更好地管理。
Host_Alias SPARC = bigtime, eclipse, moet, anchor :\
SGI = grolsch, dandelion, black :\
ALPHA = widget, thalamus, foobar :\
HPPA = boa, nag, python
Host_Alias CUNETS = 128.138.0.0/255.255.0.0
Host_Alias CSNETS = 128.138.243.0, 128.138.204.0/24, 128.138.242.0
Host_Alias SERVERS = master, mail, www, ns
Host_Alias CDROM = orion, perseus, hercules
＃第四部分，定义命令和命令地路径。命令一定要使用绝对路径，避免其他目录的同名命令被执行，造成安全隐患 , 因此使用的时候也是使用绝对路径 !
Cmnd_Alias DUMPS = /usr/bin/mt, /usr/sbin/dump, /usr/sbin/rdump,\
/usr/sbin/restore, /usr/sbin/rrestore
Cmnd_Alias KILL = /usr/bin/kill
Cmnd_Alias PRINTING = /usr/sbin/lpc, /usr/bin/lprm
Cmnd_Alias SHUTDOWN = /usr/sbin/shutdown
Cmnd_Alias HALT = /usr/sbin/halt, /usr/sbin/fasthalt
Cmnd_Alias REBOOT = /usr/sbin/reboot, /usr/sbin/fastboot
Cmnd_Alias SHELLS = /usr/bin/sh, /usr/bin/csh, /usr/bin/ksh, \
/usr/local/bin/tcsh, /usr/bin/rsh, \
/usr/local/bin/zsh
Cmnd_Alias SU = /usr/bin/su
＃ 这里是针对不同的用户采用不同地策略，比如默认所有的 syslog 直接通过 auth 输出。 FULLTIMERS 组不用看到 lecture （第一次运行时产生的消息）；用户 millert 使用 sudo 时不用输入密码；以及 logfile 的 路径在 /var/log/sudo.log 而且每一行日志中必须包括年。
Defaults syslog=auth
Defaults:FULLTIMERS !lecture
Defaults:millert !authenticate
Defaults@SERVERS log_year, logfile=/var/log/sudo.log
＃ root 和 wheel 组的成员拥有任何权利。 如果想对一组用户进行定义，可以在组名前加上 % ，对其进行设置 .
root ALL = (ALL) ALL
%wheel ALL = (ALL) ALL
＃ FULLTIMERS 可以运行任何命令在任何主机而不用输入自己的密码
FULLTIMERS ALL = NOPASSWD: ALL
＃ PARTTIMERS 可以运行任何命令在任何主机，但是必须先验证自己的密码。
PARTTIMERS ALL = ALL
＃ jack 可以运行任何命令在定义地 CSNET （ 128.138.243.0, 128.138.242.0 和 128.138.204.0/24 的子网）中，不过注意前两个不需要匹配子网掩码，而后一个必须匹配掩码。
jack CSNETS = ALL
＃ lisa 可以运行任何命令在定义为 CUNETS （ 128.138.0.0 ）的子网中主机上。
lisa CUNETS = ALL
# 用户 operator 可以运行 DUMPS,KILL,PRINTING,SHUTDOWN,HALT,REBOOT 以及在 /usr/oper/bin 中的所有命令。
operator ALL = DUMPS, KILL, PRINTING, SHUTDOWN, HALT, REBOOT,\
/usr/oper/bin/
＃ joe 可以运行 su operator 命令
joe ALL = /usr/bin/su operator
＃ pete 可以为除 root 之外地用户修改密码。
pete HPPA = /usr/bin/passwd [A-z]*, !/usr/bin/passwd root
＃ bob 可以在 SPARC 和 SGI 机器上和 OP 用户组中的 root 和 operator 一样运行如何命令。
bob SPARC = (OP) ALL : SGI = (OP) ALL
＃ jim 可以运行任何命令在 biglab 网络组中。 Sudo 默认 “ ＋ ” 是一个网络组地前缀。
jim +biglab = ALL
＃在 secretaries 中地用户帮助管理打印机，并且可以运行 adduser 和 rmuser 命令。
+secretaries ALL = PRINTING, /usr/bin/adduser, /usr/bin/rmuser
＃ fred 能够直接运行 oracle 或者 sybase 数据库。
fred ALL = (DB) NOPASSWD: ALL
＃ john 可以在 ALPHA 机器上， su 除了 root 之外地所有人。
john ALPHA = /usr/bin/su [!-]*, !/usr/bin/su *root*
＃ jen 可以在除了 SERVERS 主机组的机器上运行任何命令。
jen ALL, !SERVERS = ALL
＃ jill 可以在 SERVERS 上运行 /usr/bin/ 中的除了 su 和 shell 命令之外的所有命令。
jill SERVERS = /usr/bin/, !SU, !SHELLS
＃ steve 可以作为普通用户运行在 CSNETS 主机上的 /usr/local/op_commands/ 内的任何命令。
steve CSNETS = (operator) /usr/local/op_commands/
＃ matt 可以在他的个人工作站上运行 kill 命令。
matt valkyrie = KILL
＃ WEBMASTERS 用户组中的用户可以以 www 的用户名运行任何命令或者可以 su www 。
WEBMASTERS www = (www) ALL, (root) /usr/bin/su www
＃任何用户可以 mount 或者 umount 一个 cd-rom 在 CDROM 主机上，而不用输入密码。
ALL CDROM = NOPASSWD: /sbin/umount /CDROM,\
/sbin/mount -o nosuid\,nodev /dev/cd 0a /CDROM

三 , 使用

指令名称： sudo

使用权限：在 /etc/sudoers 中有出现的使用者
使用方式： sudo -V
sudo -h
sudo -l
sudo -v
sudo -k
sudo -s
sudo -H
sudo [ -b ] [ -p prompt ] [ -u username/#uid] -s
用法 :sudo command
说明：以系统管理者的身份执行指令，也就是说，经由 sudo 所执行的指令就好像是 root 亲自执行
参数：
-V 显示版本编号
-h 会显示版本编号及指令的使用方式说明
-l 显示出自己（执行 sudo 的使用者）的权限
-v 因为 sudo 在第一次执行时或是在 N 分钟内没有执行（ N 预设为五）会问密码，这个参数是重新做一次确认，如果超过 N 分钟，也会问密码
-k 将会强迫使用者在下一次执行 sudo 时问密码（不论有没有超过 N 分钟）
-b 将要执行的指令放在背景执行
-p prompt 可以更改问密码的提示语，其中 %u 会代换为使用者的帐号名称， %h 会显示主机名称
-u username/#uid 不加此参数，代表要以 root 的身份执行指令，而加了此参数，可以以 username 的身份执行指令（ #uid 为该 username 的使用者号码）
-s 执行环境变数中的 SHELL 所指定的 shell ，或是 /etc/passwd 里所指定的 shell
-H 将环境变数中的 HOME （家目录）指定为要变更身份的使用者家目录（如不加 -u 参数就是系统管理者 root ）
command 要以系统管理者身份（或以 -u 更改为其他人）执行的指令
范例：
sudo -l 列出目前的权限
sudo -V 列出 sudo 的版本资讯

指令名称 :sudoers （在 fc5 下显示不能找到此命令，但用 man 可以查到其用法。）
用来显示可以使用 sudo 的用户