新手学堂su和sudo命令的区别与使用技巧

整理文档很辛苦,赏杯茶钱您下走!

免费阅读已结束,点击下载阅读编辑剩下 ...

阅读已结束,您可以下载文档离线阅读编辑

资源描述

新手学堂:su和sudo命令的区别与使用技巧一.使用su命令临时切换用户身份1、su的适用条件和威力su命令就是切换用户的工具,怎么理解呢?比如我们以普通用户beinan登录的,但要添加用户任务,执行useradd,beinan用户没有这个权限,而这个权限恰恰由root所拥有。解决办法无法有两个,一是退出beinan用户,重新以root用户登录,但这种办法并不是最好的;二是我们没有必要退出beinan用户,可以用su来切换到root下进行添加用户的工作,等任务完成后再退出root。我们可以看到当然通过su切换是一种比较好的办法;通过su可以在用户之间切换,如果超级权限用户root向普通或虚拟用户切换不需要密码,什么是权力?这就是!而普通用户切换到其它任何用户都需要密码验证;2、su的用法:su[OPTION选项参数][用户]-,-l,——login登录并改变到所切换的用户环境;-c,——commmand=COMMAND执行一个命令,然后退出所切换到的用户环境;至于更详细的,请参看mansu;3、su的范例:su在不加任何参数,默认为切换到root用户,但没有转到root用户家目录下,也就是说这时虽然是切换为root用户了,但并没有改变root登录环境;用户默认的登录环境,可以在/etc/passwd中查得到,包括家目录,SHELL定义等;[beinan@localhost~]?$suPassword:[root@localhostbeinan]#pwd/home/beinansu加参数-,表示默认切换到root用户,并且改变到root用户的环境;[beinan@localhost~]?$pwd/home/beinan[beinan@localhost~]?$su-Password:[root@localhost~]#pwd/rootsu参数-用户名[beinan@localhost~]?$su-root注:这个和su-是一样的功能;Password:[root@localhost~]#pwd/root[beinan@localhost~]?$su-linuxsir注:这是切换到linuxsir用户Password:注:在这里输入密码;[linuxsir@localhost~]?$pwd注:查看用户当前所处的位置;/home/linuxsir[linuxsir@localhost~]?$id注:查看用户的UID和GID信息,主要是看是否切换过来了;uid=505(linuxsir)gid=502(linuxsir)groups=0(root),500(beinan),502(linuxsir)[linuxsir@localhost~]?$[beinan@localhost~]?$su--cls注:这是su的参数组合,表示切换到root用户,并且改变到root环境,然后列出root家目录的文件,然后退出root用户;Password:注:在这里输入root的密码;anaconda-ks.cfgDesktopinstall.loginstall.log.syslogtestgrouptestgroupbeinantestgrouproot[beinan@localhost~]?$pwd注:查看当前用户所处的位置;/home/beinan[beinan@localhost~]?$id注:查看当前用户信息;uid=500(beinan)gid=500(beinan)groups=500(beinan)4、su的优缺点;su的确为管理带来方便,通过切换到root下,能完成所有系统管理工具,只要把root的密码交给任何一个普通用户,他都能切换到root来完成所有的系统管理工作;但通过su切换到root后,也有不安全因素;比如系统有10个用户,而且都参与管理。如果这10个用户都涉及到超级权限的运用,做为管理员如果想让其它用户通过su来切换到超级权限的root,必须把root权限密码都告诉这10个用户;如果这10个用户都有root权限,通过root权限可以做任何事,这在一定程度上就对系统的安全造成了威协;想想Windows吧,简直就是恶梦;“没有不安全的系统,只有不安全的人”,我们绝对不能保证这10个用户都能按正常操作流程来管理系统,其中任何一人对系统操作的重大失误,都可能导致系统崩溃或数据损失;所以su工具在多人参与的系统管理中,并不是最好的选择,su只适用于一两个人参与管理的系统,毕竟su并不能让普通用户受限的使用;超级用户root密码应该掌握在少数用户手中,这绝对是真理!所以集权而治的存在还是有一定道理的;二.sudo授权许可使用的su,也是受限制的su1.sudo的适用条件由于su对切换到超级权限用户root后,权限的无限制性,所以su并不能担任多个管理员所管理的系统。如果用su来切换到超级用户来管理系统,也不能明确哪些工作是由哪个管理员进行的操作。特别是对于服务器的管理有多人参与管理时,最好是针对每个管理员的技术特长和管理范围,并且有针对性的下放给权限,并且约定其使用哪些工具来完成与其相关的工作,这时我们就有必要用到sudo。通过sudo,我们能把某些超级权限有针对性的下放,并且不需要普通用户知道root密码,所以sudo相对于权限无限制性的su来说,还是比较安全的,所以sudo也能被称为受限制的su;另外sudo是需要授权许可的,所以也被称为授权许可的su;sudo执行命令的流程是当前用户切换到root(或其它指定切换到的用户),然后以root(或其它指定的切换到的用户)身份执行命令,执行完成后,直接退回到当前用户;而这些的前提是要通过sudo的配置文件/etc/sudoers来进行授权;2、从编写sudo配置文件/etc/sudoers开始sudo的配置文件是/etc/sudoers,我们可以用他的专用编辑工具visodu,此工具的好处是在添加规则不太准确时,保存退出时会提示给我们错误信息;配置好后,可以用切换到您授权的用户下,通过sudo-l来查看哪些命令是可以执行或禁止的;/etc/sudoers文件中每行算一个规则,前面带有#号可以当作是说明的内容,并不执行;如果规则很长,一行列不下时,可以用\号来续行,这样看来一个规则也可以拥有多个行;/etc/sudoers的规则可分为两类;一类是别名定义,另一类是授权规则;别名定义并不是必须的,但授权规则是必须的;3、/etc/sudoers配置文件中别名规则别名规则定义格式如下:Alias_TypeNAME=item1,item2,……或Alias_TypeNAME=item1,item2,item3:NAME=item4,item5别名类型(Alias_Type):别名类型包括如下四种Host_Alias定义主机别名;User_Alias用户别名,别名成员可以是用户,用户组(前面要加%号)Runas_Alias用来定义runas别名,这个别名指定的是“目的用户”,即sudo允许切换至的用户;Cmnd_Alias定义命令别名;NAME就是别名了,NMAE的命名是包含大写字母、下划线以及数字,但必须以一个大写字母开头,比如SYNADM、SYN_ADM或SYNAD0是合法的,sYNAMDA或1SYNAD是不合法的;item按中文翻译是项目,在这里我们可以译成成员,如果一个别名下有多个成员,成员与成员之间,通过半角,号分隔;成员在必须是有效并事实存在的。什么是有效的呢?比如主机名,可以通过w查看用户的主机名(或ip地址),如果您只是本地机操作,只通过hostname命令就能查看;用户名当然是在系统中存在的,在/etc/paswd中必须存在;对于定义命令别名,成员也必须在系统中事实存在的文件名(需要绝对路径);item成员受别名类型Host_Alias、User_Alias、Runas_Alias、Cmnd_Alias制约,定义什么类型的别名,就要有什么类型的成员相配。我们用Host_Alias定义主机别名时,成员必须是与主机相关相关联,比如是主机名(包括远程登录的主机名)、ip地址(单个或整段)、掩码等;当用户登录时,可以通过w命令来查看登录用户主机信息;用User_Alias和Runas_Alias定义时,必须要用系统用户做为成员;用Cmnd_Alias定义执行命令的别名时,必须是系统存在的文件,文件名可以用通配符表示,配置Cmnd_Alias时命令需要绝对路径;其中Runas_Alias和User_Alias有点相似,但与User_Alias绝对不是同一个概念,Runas_Alias定义的是某个系统用户可以sudo切换身份到Runas_Alias下的成员;我们在授权规则中以实例进行解说;别名规则是每行算一个规则,如果一个别名规则一行容不下时,可以通过\来续行;同一类型别名的定义,一次也可以定义几个别名,他们中间用:号分隔,Host_AliasHT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24注:定义主机别名HT01,通过=号列出成员Host_AliasHT02=st09,st10注:主机别名HT02,有两个成员;Host_AliasHT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24:HT02=st09,st10注:上面的两条对主机的定义,可以通过一条来实现,别名之间用:号分割;注:我们通过Host_Alias定义主机别名时,项目可以是主机名、可以是单个ip(整段ip地址也可以),也可以是网络掩码;如果是主机名,必须是多台机器的网络中,而且这些机器得能通过主机名相互通信访问才有效。那什么才算是通过主机名相互通信或访问呢?比如ping主机名,或通过远程访问主机名来访问。在我们局域网中,如果让计算机通过主机名访问通信,必须设置/etc/hosts,/etc/resolv.conf,还要有DNS做解析,否则相互之间无法通过主机名访问;在设置主机别名时,如果项目是中某个项目是主机名的话,可以通过hostname命令来查看本地主机的主机名,通过w命令查来看登录主机是来源,通过来源来确认其它客户机的主机名或ip地址;对于主机别名的定义,看上去有点复杂,其实是很简单。如果您不明白Host_Alias是怎么回事,也可以不用设置主机别名,在定义授权规则时通过ALL来匹配所有可能出现的主机情况。如果您把主机方面的知识弄的更明白,的确需要多多学习。User_AliasSYSAD=beinan,linuxsir,bnnnb,lanhaitun注:定义用户别名,下有四个成员;要在系统中确实在存在的;User_AliasNETAD=beinan,bnnb注:定义用户别名NETAD,我想让这个别名下的用户来管理网络,所以取了NETAD的别名;User_AliasWEBMASTER=linuxsir注:定义用户别名WEBMASTER,我想用这个别名下的用户来管理网站;User_AliasSYSAD=beinan,linuxsir,bnnnb,lanhaitun:NETAD=beinan,bnnb:WEBMASTER=linuxsir注:上面三行的别名定义,可以通过这一行来实现,请看前面的说明,是不是符合?Cmnd_AliasUSERMAG=/usr/sbin/adduser,/usr/sbin/userdel,/usr/bin/passwd[A-Za-z]*,/bin/chown,/bin/chmod注意:命令别名下的成员必须是文件或目录的绝对路径;Cmnd_AliasDISKMAG=/sbin/fdisk,/sbin/partedCmnd_AliasNETMAG=/sbin/ifconfig,/etc/init.d/networkCmnd_AliasKILL=/usr/bin/killCmnd_AliasPWMAG=/usr/sbin/reboot,/u

1 / 11
下载文档,编辑使用

©2015-2020 m.777doc.com 三七文档.

备案号:鲁ICP备2024069028号-1 客服联系 QQ:2149211541

×
保存成功