文章目录
一、passwd命令
设置用户口令的命令 passwd
用法：passwd [选项] [username]
(1) passwd：修改用户自己的密码；
(2) passwd USERNAME：修改指定用户的密码，但仅root有此权限；
选项：
- -l, -u：锁定和解锁用户；锁定后的用户其在shadow文件对应用户行的密码前会有两个感叹号"!!"进行标识，解锁后便不存在
- -d：清除用户密码串；清除后的用户其在shadow文件对应用户行的第二列显示加密后的密码便为空，即什么也不显示
- -i DAYS：在密码过期后多少天，用户被禁掉，后面接数字；对应于shadow文件该用户信息行的第7列
说明：此字段规定的宽限天数是 10，则代表密码过期 10 天后禁用；如果是 0，则代表密码过期后立即禁用 ；如果是 -1，则代表密码永远不会禁用 - -n DAYS：两次密码修改的最小天数，后面接数字；对应于shadow文件该用户信息行的第4列
- -x DAYS：密码的最长使用期限，即密码有效期，对应于shadow文件该用户信息行的第5列
- -w DAYS：在距多少天提醒用户修改密码，后面接数字 ，对应于shadow文件该用户信息行的第6列
- –stdin：echo “PASSWORD” | passwd --stdin USERNAME 从标准输入获取密码
- -S：简短查看某用户的口令状态信息
- -e：终止指名帐户的密码
【例 1】
锁定用户后，用户便无法登录 （对应于usermod -L）
[root@admin ~]# cat /etc/shadow |grep dxk
dxk:$6$5d3.bTJT$PfGZFkpy6HiKJSGmjmYoqIbsdqrT4G9GbWI5s8ixWpL51I2OtiETRUW0UGnzu08qW/AbBVd1Uo.Zw.1UZ6p6w0:18471:11:1111:9:100::
[root@admin ~]# passwd -l dxk
锁定用户 dxk 的密码 。
passwd: 操作成功
[root@admin ~]# cat /etc/shadow |grep dxk #对比着看，密码前出现两个感叹号
dxk:!!$6$5d3.bTJT$PfGZFkpy6HiKJSGmjmYoqIbsdqrT4G9GbWI5s8ixWpL51I2OtiETRUW0UGnzu08qW/AbBVd1Uo.Zw.1UZ6p6w0:18471:11:1111:9:100::
解锁用户 （对应于usermod -U）
[root@admin ~]# passwd -u dxk
【例 2】
清除密码后，密码将显示为空，且用户无法登录使用
[root@admin ~]# cat /etc/shadow | grep admin094
admin094:$6$8bcFTwAS$8TvVTfpP0q10QowX67W7EJ2opufeHlvbscSx77NWhzkQrgFHF8IWjL9CPFW40dAl0kdEM7CJndayRTHlSFcat1:18470:0:99999:7:::
[root@admin ~]# passwd -d admin094
清除用户的密码 admin094。
passwd: 操作成功
[root@admin ~]# cat /etc/shadow | grep admin094
admin094::18471:0:99999:7:::
需要root用户重新为该用户设置密码方能使用
【例 3】
设置用户在密码过期后19天，该用户被禁掉
[root@admin ~]# passwd -i 19 admin094
调整用户密码老化数据admin094。
passwd: 操作成功
[root@admin ~]# cat /etc/shadow | grep admin094
admin094:$6$Y2gnGihm$NMte5QCS5qVyC85fbkBK4nnoBgCeBl3yIaPTAT3NFRflNdVvN8LZnJZx/zWTkz//FItUybwinIx3X7iJaMLnh/:18471:0:99999:7:19::
#对应于第7列
设置该用户两次密码修改的最小天数为66,0表示随时可以修改
[root@admin ~]# passwd -n 66 admin094
调整用户密码老化数据admin094。
passwd: 操作成功
[root@admin ~]# cat /etc/shadow | grep admin094
admin094:$6$Y2gnGihm$NMte5QCS5qVyC85fbkBK4nnoBgCeBl3yIaPTAT3NFRflNdVvN8LZnJZx/zWTkz//FItUybwinIx3X7iJaMLnh/:18471:66:99999:7:19::
#对应于第4列
设置其密码有效期为90，这个时间是从1970年算起的时间天数，超过这个时间密码将过期，默认为99999即也就是 273 年，可认为是永久生效。如果改为 90，则表示密码被修改 90 天之后必须再次修改，否则该用户即将过期
[root@admin ~]# passwd -x 90 admin094
调整用户密码老化数据admin094。
passwd: 操作成功
[root@admin ~]# cat /etc/shadow | grep admin094
admin094:$6$Y2gnGihm$NMte5QCS5qVyC85fbkBK4nnoBgCeBl3yIaPTAT3NFRflNdVvN8LZnJZx/zWTkz//FItUybwinIx3X7iJaMLnh/:18471:66:90:7:19::
#对应于第5列
并设置距3天提醒用户修改密码
默认设置为7天。当账户密码有效期快到时，系统会发出警告信息给此账户，提醒用户 “再过 n 天你的密码就要过期了，请尽快重新设置你的密码！”
[root@admin ~]# passwd -w 3 admin094
调整用户密码老化数据admin094。
passwd: 操作成功
[root@admin ~]# cat /etc/shadow | grep admin094
admin094:$6$Y2gnGihm$NMte5QCS5qVyC85fbkBK4nnoBgCeBl3yIaPTAT3NFRflNdVvN8LZnJZx/zWTkz//FItUybwinIx3X7iJaMLnh/:18471:66:90:3:19::
#对应于第6列
修改此用户的密码为123456
[root@admin ~]# echo "123456" | passwd --stdin admin094
更改用户 admin094 的密码 。
passwd：所有的身份验证令牌已经成功更新。
【例 4】
查看dxk用户的口令状态信息
[root@admin ~]# passwd -S dxk
dxk PS 2020-07-28 11 1111 9 100 (密码已设置，使用 SHA512 算法。)
二、chage命令
更改用户密码过期信息的命令chage
用法：chage [选项] 登录名
选项：
-
-d：指定密码最后修改日期；对应于shadow文件该用户信息行的第2列
-
-E：密码到期的日期，过了这天，此账号被禁掉不可用，对应于shadow文件的第8列（账户失效时间，单位是对应于计算机元年的天数，若改为 -1 则账户永不过期）
-
-W：密码过期前，提前收到警告信息的天数，同passwd -w；对应于shadow文件该用户信息行的第6列
-
-m：密码可以更改的最小天数，0表示任意时刻都可以修改。同passwd -n;对应于shadow文件该用户信息行的第4列
-
-M：密码保持有效的最大天数，同passwd -x;对应于shadow文件该用户信息行的第5列
-
-l：显示帐户年龄信息
【例 】
指定用户的密码最后修改日期为20000，即自1970年1月1日后的20000天的这个日期
[root@admin ~]# chage -d 20000 admin093
[root@admin ~]# cat /etc/shadow | grep admin093
admin093:$6$tKo9iZ6i$CZt7mkQUDKueMZzKAgP.n4gKFjAtOvurukp02W2iNTdc0eWxrZ8J1CsCyMGfwf3ufx1EcN0OsYJPNZlnqO1L9.:20000:0:99999:7:::
[root@admin ~]# date -d "1970-01-01 20000 days"
2024年 10月 04日 星期五 00:00:00 CST
查看dxk用户年龄信息
[root@admin ~]# chage -l dxk
最近一次密码修改时间 ：7月 28, 2020
密码过期时间 ：8月 13, 2023
密码失效时间 ：11月 21, 2023
帐户过期时间 ：从不
两次改变密码之间相距的最小天数 ：11
两次改变密码之间相距的最大天数 ：1111
在密码过期之前警告的天数 ：9
其实就对应于shadow文件中的信息：
[root@admin ~]# cat /etc/shadow | grep dxk
dxk:$6$fSU1OoQi$xz.jFCpOKSVAp/7hz4sJCDhl5EdHvh8WYg9oaJ57XUumECiTWlnHoc3VsBXts8xyS0Puswb1oJZhR.hljziec/:18471:11:1111:9:100::
三、id 命令
查询用户的UID、GID 和附加组信息的命令id
用法：id [OPTION]… [USER]
选项：
- -u： 仅显示有效的UID；
- -g：仅显示用户的基本组ID;
- -G：仅显示用户所属的所有组的ID，（包括 基本组和附加组）
- -n：显示名字而非ID；（必须和-u或-g联合使用）
【例 1】
查看当前用户的用户及用户组相关信息
[dxk@admin ~]$ id
uid=1000(dxk) gid=1000(dxk) 组=1000(dxk),0(root) 环境=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
#当前用户的UID为1000（用户名为dxk） 基本组GID为1000，基本组组名为dxk 该用户所在组有：基本组dxk和附加组：root
查看其他用户的相关信息：
[dxk@admin ~]$ id admin093
uid=1200(admin093) gid=1200(admin093) 组=1200(admin093)
【例 2】
只查看当前用户的基本组
[dxk@admin ~]$ id -g
1000
查看指定用户的基本组
[dxk@admin ~]$ id -g admin093
1200
【例 3】
仅显示当前用户所属的所有组的ID （包括 基本组和附加组）
[dxk@admin ~]$ id -G
1000 0
仅显示指定用户所属的所有组的ID
[dxk@admin ~]$ id -G admin093
1200
【例 4】
显示用户的用户名而非ID
[dxk@admin ~]$ id -un
dxk
[dxk@admin ~]$ id -un admin093
admin093
显示用户的基本组组名而非id
[dxk@admin ~]$ id -gn
dxk
[dxk@admin ~]$ id -gn admin093
admin093
显示用户的所有组的组名而非id
[dxk@admin ~]$ id -Gn
dxk root
[dxk@admin ~]$ id -Gn admin093
admin093
四、用户管理工具
命令太多，选项太多，记不住？可以借助shell脚本写一个用户的工具类来实现：
这里以passwd命令为例
[root@admin ~]# vim MyToolBox.sh
#!/bin/bash
while true
do
cat << END
######################################
# #
# 1.锁定用户 #
# 2.解锁用户 #
# 3.清除用户密码 #
# 4.修改用户密码告警天数 #
# 5.修改用户密码有效期 #
# 6.修改用户密码的最小修改天数 #
# 7.退出 #
# #
######################################
END
read -p "请输入你要执行的操作对应的菜单号：" NUM
case $NUM in
1)
read -p "请输入你要锁定的用户名：" LOCKUSR
passwd -l $LOCKUSR
;;
2)
read -p "请输入你要解锁的用户名：" UNLOCKUSR
passwd -u $UNLOCKUSR
;;
3)
read -p "请输入你所要清除密码的用户名：" DELPWDUSR
passwd -d $DELPWDUSR
;;
4)
read -p "请输入要修改的用户名：" WARNUSR
read -p "请输入设置后该用户密码的告警天数：" WARNINGDAY
passwd -w $WARNINGDAY $WARNUSR
;;
5)
read -p "请输入要修改的用户名：" USR
read -p "请输入设置后该用户的密码有效期：" INDATE
passwd -x $INDATE $USR
;;
6)
read -p "请输入要修改的用户名：" USERNAME
read -p "请输入设置后该用户的密码最小修改天数：" MINDAY
passwd -n $MINDAY $USERNAME
;;
7)
exit
;;
*)
echo"您的输入有误，请重新输入："
esac
done
保存后执行：
[root@admin ~]# !vim
vim MyToolBox.sh
[root@admin ~]# vim MyToolBox.sh
[root@admin ~]# sh MyToolBox.sh
######################################
# #
# 1.锁定用户 #
# 2.解锁用户 #
# 3.清除用户密码 #
# 4.修改用户密码告警天数 #
# 5.修改用户密码有效期 #
# 6.修改用户密码的最小修改天数 #
# 7.退出 #
# #
######################################
请输入你要执行的操作对应的菜单号：1
请输入你要锁定的用户名：admin001
锁定用户 admin001 的密码 。
passwd: 操作成功
######################################
# #
# 1.锁定用户 #
# 2.解锁用户 #
# 3.清除用户密码 #
# 4.修改用户密码告警天数 #
# 5.修改用户密码有效期 #
# 6.修改用户密码的最小修改天数 #
# 7.退出 #
# #
######################################
请输入你要执行的操作对应的菜单号：2
请输入你要解锁的用户名：admin001
解锁用户 admin001 的密码。
passwd: 操作成功
######################################
# #
# 1.锁定用户 #
# 2.解锁用户 #
# 3.清除用户密码 #
# 4.修改用户密码告警天数 #
# 5.修改用户密码有效期 #
# 6.修改用户密码的最小修改天数 #
# 7.退出 #
# #
######################################
请输入你要执行的操作对应的菜单号：7
[root@admin ~]#
这样就实现了一个功能为修改用户密码属性的工具类。
让此shell脚本可以像命令一样执行：
[root@admin ~]# chmod +x MyToolBox.sh
[root@admin ~]# /root/MyToolBox.sh
但是这样必须以绝对路径执行，解决办法：
第一种：
重命名
[root@admin ~]# alias mytool="/root/MyToolBox.sh"
#这样就可以在任意位置直接输入mytool就可以使用
[root@admin ~]# mytool
第二种：
将该文件移动到PATH变量的路径下
[root@admin ~]# mv MyToolBox.sh /usr/local/sbin
[root@admin ~]# MyToolBox.sh #这样就可以像命令一样在任意位置执行
或者：
我们专门指定一个目录存放这些工具类文件并将该目录添加到PATH变量中
这里我们指定/opt/scripts为存放工具类的目录
[root@admin opt]# mkdir scripts
[root@admin opt]# mv /usr/local/sbin/MyToolBox.sh /opt/scripts/
[root@admin opt]# vim /etc/profile #将以下内容写入该环境变量配置文件中
PATH=$PATH:/opt/scripts
[root@admin opt]# source /etc/profile
#这样就可以直接执行了
[root@admin opt]# MyToolBox.sh
五、sudo命令
我们知道，使用 su 命令可以让普通用户切换到 root 身份去执行某些特权命令，但存在一些问题，比如说：
- 仅仅为了一个特权操作就直接赋予普通用户控制系统的完整权限；
- 当多人使用同一台主机时，如果大家都要使用 su 命令切换到 root 身份，那势必就需要 root 的密码，这就导致很多人都知道 root 的密码；
考虑到使用 su 命令可能对系统安装造成的隐患，最常见的解决方法是使用 sudo 命令，此命令也可以让你切换至其他用户的身份去执行命令
如何禁止用户使用su命令？
修改 /etc/pam.d/su 文件
将文件中的以下行的注释去掉
# Uncomment the following line to implicitly trust users in the "wheel" group. //翻译为：取消对下面一行的注释，以隐式信任“wheel”组中的用户
#auth sufficient pam_wheel.so trust use_uid #将该行注释去掉
那么此文件便会生效，即只有 wheel 组中的用户才能使用 su命令进行切换，其他用户则不能，要想让所有用户都不能使用，则将wheel组中的所有用户清楚即可
相对于使用 su 命令还需要新切换用户的密码，sudo 命令的运行只需要知道自己的密码即可，甚至于，我们可以通过手动修改 sudo 的配置文件，使其无需任何密码即可运行。
sudo 命令默认只有 root 用户可以运行
命令的基本格式：sudo [-b] [-u 新使用者账号] 要执行的命令
常用选项：
- -b ：将后续的命令放到背景中让系统自行运行，不对当前的 shell 环境产生影响。
- -u ：后面可以接欲切换的用户名，若无此项则代表切换身份为 root 。
- -l：此选项的用法为 sudo -l，用于显示当前用户可以用 sudo 执行那些命令。
【例 】
[root@admin ~]# grep sshd /etc/passwd
sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin
[root@admin ~]# sudo -u sshd touch /tmp/mysshd
[root@admin ~]# ll /tmp/mysshd
-rw-r--r--. 1 sshd sshd 0 7月 28 15:00 /tmp/mysshd
本例中，无法使用 su - sshd 的方式成功切换到 sshd 账户中，因为此用户的默认 Shell 是 /sbin/nologin。这时就显现出 sudo 的优势，我们可以使用 sudo 以 sshd 的身份在 /tmp 目录下创建 mysshd 文件，可以看到，新创建的 mysshd 文件的所有者确实是 sshd
那么，如何让普通用户也能使用它？
分析一下 sudo 命令的执行过程。sudo命令的运行，需经历如下几步：
- 当用户运行 sudo 命令时，系统会先通过 /etc/sudoers 文件，验证该用户是否有运行 sudo 的权限；
- 确定用户具有使用 sudo 命令的权限后，还要让用户输入自己的密码进行确认。出于对系统安全性的考虑，如果用户在默认时间内（默认是 5 分钟）不使用 sudo 命令，此后使用时需要再次输入密码；
- 密码输入成功后，才会执行 sudo 命令后接的命令。
显然，能否使用 sudo 命令，取决于对 /etc/sudoers 文件的配置（默认情况下，此文件中只配置有 root 用户）
特性：
1、sudo能够限制用户只在某台主机上运行某些命令。
2、sudo提供了丰富的日志，详细地记录了每个用户干了什么。它能够将日志传到中心主机或者日志服务器。
3、sudo使用时间戳文件–日志 来执行类似的“检票”系统。当用户调用sudo并且输入它的密码时，用户获得了一
张存活期为5分钟的票（这个值可以在编译的时候改变）。
4、sudo的配置文件是/etc/sudoers，属性必须为0440，它允许系统管理员集中的管理用户的使用权限和使用的
主机。
下面，我们学习对 /etc/sudoers 文件进行合理的修改
六、 sudo命令的配置文件/etc/sudoers
修改 /etc/sudoers，不建议直接使用 vim，而是使用 visudo。因为修改 /etc/sudoers 文件需遵循一定的语法规则，使用 visudo 的好处就在于，当修改完毕 /etc/sudoers 文件，离开修改页面时，系统会自行检验 /etc/sudoers 文件的语法。
查看该文件：
[root@admin ~]# visudo
## Sudoers allows particular users to run various commands as
## the root user, without needing the root password.
……省略部分输出信息……
## Read drop-in files from /etc/sudoers.d (the # here does not mean a comment)
#includedir /etc/sudoers.d
可以看到，内容很多。/etc/sudoers 文件中每行算一个规则，前面带有#号可以当作是说明的内容，并不执行，。在文件中提供了很多相关命令的示例以供选择，这些示例都可以被特定用户或用户组所使用
/etc/sudoers 的规则可分为两类；一类是别名定义，另一类是授权规则；别名定义并不是必须的，但授权规则是必须的
（一）/etc/sudoers 配置文件中别名规则
别名规则定义格式：
Alias_Type NAME = item1, item2, …
或 Alias_Type NAME = item1, item2, item3 : NAME = item4, item5
别名类型（Alias_Type）：别名类型包括如下四种
- Host_Alias 定义主机别名；
- User_Alias 用户别名，别名成员可以是用户，用户组（前面要加%号）
- Runas_Alias 用来定义runas别名，这个别名指定的是“目的用户”，即sudo 允许切换至的用户；（一般都是切换到root用户，所以此类型已经不怎么用）
- Cmnd_Alias 定义命令别名；
NAME 就是别名，NMAE的命名是包含大写字母、下划线以及数字，但必须以一个大写字母开头，比如SYNADM、SYN_ADM或SYNAD0是合法的，sYNAMDA或1SYNAD是不合法的；
一个别名下有多个成员，成员与成员之间，通过半角,号分隔；成员在必须是有效并事实存在的。什么是有效的呢？
比如主机名，可以通过w查看用户的主机名（或ip地址），如果您只是本地机操作，只通过hostname 命令就能查看；用户名当然是在系统中存在 的，在/etc/passwd中必须存在；
对于定义命令别名，成员也必须在系统中事实存在的文件名（需要绝对路径）；
成员受别名类型 Host_Alias、User_Alias、Runas_Alias、Cmnd_Alias 制约，定义什么类型的别名，就要有什么类型的成员相配
我们用Host_Alias定义主机别名时，成员必须是与主机相关联，
比如是主机名（包括远程登录的主机名）、ip地址（单个或整段）、掩码等； 当用户登录时，可以通过w命令来查看登录用户主机信息；用User_Alias和 Runas_Alias定义时，必须要用系统用户做为成员；
用 Cmnd_Alias 定义执行命令的别名时，必须是系统存在的文件，文件名可以用通配符表示，配置Cmnd_Alias时命令需要绝对路径；
其中 Runas_Alias 和User_Alias 有点相似，但与User_Alias 不是同一个概念，Runas_Alias 定义的是某个系统用户可以sudo 切换身份到Runas_Alias下的成员；
别名规则是每行算一个规则，如果一个别名规则一行容不下时，可以通过\来续行；同一类型别名的定义，一次也可以定义几个别名，他们中间用:号分隔
①Host_Alias
Host_Alias HT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24
注：定义主机别名HT01，通过=号列出成员
Host_Alias HT02=st09,st10
注：主机别名HT02，有两个成员；
Host_Alias HT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24:HT02=st09,st10
注：上面的两条对主机别名的定义，可以通过一条来实现，别名之间用:号分割；
说明： 我们通过Host_Alias 定义主机别名时，项目可以是主机名、可以是单个ip（整段ip地址也可以），也可以是网络掩码；如果是主机名，必须是多台机器的网络中，而且这些机器得能通过主机名相互通信访问才有效。
那什么才算是通过主机名相互通信或访问呢？比如 ping 主机名，或通过远程访问主机名 来访问。在我们局域网中，如果让计算机通过主机名访问通信，必须设置/etc/hosts， /etc/resolv.conf ，还要有DNS做解析，
否则相互之间无法通过主机名访问；在设置主机别名时，可以通过hostname 命令来查看本地主机的主机名，通过w 命令查来看登录主机是来源，通过来源来确认其它客户机的主机名或ip地址；
对于主机别名的定义，看上去有点复杂，其实是很简单。
如果不明白Host_Alias 是怎么回事，也可以不用设置主机别名，在定义授权规则时通过ALL来匹配所有可能出现的主机情况。
如果弄懂了主机别名定义的方法，那么其他三个也是一样的，前面也说过，定义别名也不是必须的，但是如果定义好了在第二步授权规则中来使用别名会很方便
② User_Alias
用户别名，别名成员可以是用户，用户组（前面要加%号）
User_Alias ADMIN=ztg,ztguang
定义用户别名ADMIN，有两个成员ztg和ztguang，这两个成员要在系统中确实存在
User_Alias PROCESSES= ztg1
定义用户别名PROCESSES，有一个成员ztg1，这个成员要在系统中确实存在
User_Alias SYSAD=linuxidc,linuxsir,bnnnb,lanhaitun:NETAD=linuxidc,bnnb:WEBMASTER=linuxsir
定义了三个用户别名（集合）。SYSAD中包含linuxidc,linuxsir,bnnnb,lanhaitun这四个用户；NETAD中包含linuxidc,bnnb这两个用户；WEBMASTER中包含linuxsir 这一个用户
③ Runas_Alias
用来定义runas别名，这个别名是指sudo允许切换到的用户；
Runas_Alias RUN_AS = root
定义runas别名RUN_AS，有一个成员root。
④ Cmnd_Alias
定义命令的别名，这些命令必须是系统存在的文件，要用绝对路径，文件名可以用通配符表示。
Cmnd_Alias NETWORKING = /sbin/route, /sbin/ifconfig, /bin/ping:NETREPAIR=/sbin/dhclient, /usr/bin/net
定义了两个命令别名（集合）。一个是NETWORKING ，其中所包含的命令是/sbin/route, /sbin/ifconfig, /bin/ping；另一个是NETREPAIR，其中所包含的命令是/sbin/dhclient, /usr/bin/net
（二）/etc/sudoers中的授权规则
授权规则是分配权限的执行规则，我们前面所讲到的定义别名主要是为了更方便的授权引用别名；如果系统中只有几个用户，其实下放权限比较有限的话，可以不用定义别名，而是针对系统用户直接直接授权，所以在授权规则中别名并不是必须的
授权规则并不是无章可寻，我们了解一下比较简单的写法，如果想详细了解授权规则写法的，可以参看man sudoers
授权规则的定义格式：授权用户 主机=命令动作
或者：
授权用户 主机=[(切换到哪些用户或用户组)] [是否需要密码验证] 命令1,[(切换到哪些用户或
用户组)] [是否需要密码验证] [命令2],[(切换到哪些用户或用户组)] [是否需要密码验证] [命令
3] …
说明：
凡是[ ]中的内容，是可以省略；命令与命令之间用,号分隔；在[(切换到哪些用户或用户组)] ，在动作之前也可以指定切换到特定用户下，如果省略，则默认为root用户；如果是ALL ，则代表能切换到所有用户，注意要切换到的目的用户必须用()号括起来，比如(ALL)、(user01)…；如果不需要密码直接运行命令的，应该加 NOPASSWD: 参数，但这些可以省略，如果省略了，默认为是需要验证密码。
sudo的客户端应用
- sudo -l：列出当前用户可以执行的命令。只有在sudoers里的用户才能使用该选项。
- sudo -u 用户名 命令：以指定用户的身份执行命令。后面的用户是除root以外的，可以是用户
名，也可以是UID。 - sudo -k：清除存活期时间，下次再使用sudo时要再输入密码。
- sudo -b 命令：在后台执行指定的命令。
这两行是系统为我们提供的模板：
root ALL=(ALL) ALL
#用户名 被管理主机的地址=(可使用的身份) 授权命令(绝对路径)
%wheel ALL=(ALL) ALL
%组名 被管理主机的地址=(可使用的身份) 授权命令(绝对路径)
声明：虽然sudo的配置文件是/etc/sudoers，但是这是总文件，不建议在这里配置sudo授权。可以在/etc/sudoers.d/目录下创建一个任意名的文本文件，然后在该文件内写入sudo授权配置信息，系统会自动检索这个目录下的文件并把它当作sudo授权的配置文件
举例说明：
【例 1】
dxk ALL=/usr/bin/chown,/usr/bin/chmod
如果我们在/etc/sudoers.d/目录下创建一个文件并写入以上信息。这表示用户 dxk 可以在任何可能出现的主机名的系统中，可以切换到root用户下执行 /bin/chown 和/bin/chmod 命令。可以通过sudo -l 来查看beinan 在这台主机上允许和禁止运行的命令；
在这里省略了指定切换到哪个用户下执行/usr/bin/shown 和/usr/bin/chmod命令；在省略的情况下默认为是切换到root用户下执行；同时也省略了是不是需要dxk用户输入验证密码，如果省略了，默认为是需要验证密码。
[root@admin sudoers.d]# vim sudorules
#在该文件中写入以下内容并保存退出
dxk ALL =/usr/bin/chown,/usr/bin/chmod
#切换到dxk用户进行查看
[dxk@admin ~]$ sudo -l
[sudo] dxk 的密码：
匹配 %2$s 上 %1$s 的默认条目：
!visiblepw, always_set_home, match_group_by_gid,
always_query_group_plugin, env_reset, env_keep="COLORS DISPLAY HOSTNAME
HISTSIZE KDEDIR LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG
LC_ADDRESS LC_CTYPE", env_keep+="LC_COLLATE LC_IDENTIFICATION
LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY LC_NAME LC_NUMERIC
LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS
_XKB_CHARSET XAUTHORITY", secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
用户 dxk 可以在 admin 上运行以下命令：
(root) /usr/bin/chown, /usr/bin/chmod
【例 2】
dxk ALL=(root) NOPASSWD:/usr/bin/chown,(ALL)/usr/bin/chmod
表示的是 dxk 可以在任何可能出现的主机名的主机中，可以切换到root下执行/usr/bin/chown,不需要输入 dxk 用户的密码；并且可以切换到任何用户下执行/usr/bin/chmod 命令，但执行chmod时需要dxk 输入自己的密码；通过sudo -l 来查看dxk在这台主机上允许和禁止运行的命令；
关于一个命令动作是不是需要密码，我们可以发现在系统在默认的情况下是需要用户密码的，除非特加指出不需要用户需要输入自己密码，所以要在执行动作之前加入NOPASSWD: 参数
[root@admin sudoers.d]# vim sudorules
#添加如下内容
dxk ALL=(root) NOPASSWD: /usr/bin/chown,/usr/bin/chmod
[dxk@admin ~]$ sudo -l
……省略部分输出信息……
用户 dxk 可以在 admin 上运行以下命令：
(root) NOPASSWD: /usr/bin/chown, /usr/bin/chmod
下面我们进行验证chown命令：
[dxk@admin ~]$ ll yyy
-rw-rw-r--. 1 dxk dxk 13 7月 22 14:41 yyy
[dxk@admin ~]$ chown admin001:admin001 yyy
chown: 正在更改"yyy" 的所有者: 不允许的操作
#以上可以看到不允许普通用户进行该操作
#下面我们使用sudo进行验证
[dxk@admin ~]$ sudo -u root chown admin001:admin001 yyy
[dxk@admin ~]$ ll yyy
-rw-rw-r--. 1 admin001 admin001 13 7月 22 14:41 yyy
#可以看到执行成功，说明配置成功
验证chmod：
#在用户admin001家目录下创建普通文件file
[admin001@admin ~]$ touch file
[admin001@admin ~]$ ll
总用量 0
-rw-rw-r--. 1 admin001 admin001 0 7月 28 17:19 file
#dxk用户是没有权限修改admin001用户的文件
[dxk@admin ~]$ chmod 777 /home/admin001/file
chmod: 无法访问"/home/admin001/file": 权限不够
#但是我们在sudo授权中配置了dxk用户可以在任意主机上切换到任意用户但只能使用chmod权限，那么，进行检验
[dxk@admin ~]$ sudo -u admin001 chmod 777 /home/admin001/file
[sudo] dxk 的密码：
[dxk@admin ~]$
#输入密码后我们查看该文件是否发生改变
[admin001@admin ~]$ ll
总用量 0
-rw-rw-r--. 1 admin001 admin001 0 7月 28 17:19 file
#可以看到chmod 777执行成功
【例 3】
比如我们想用 dxk 普通用户通过more /etc/shadow文件的内容时，可能会出现下面的情况；
[dxk@admin ~]$ more /etc/shadow
/etc/shadow: 权限不够
这时我们可以用sudo more /etc/shadow 来读取文件的内容；那么就需要root用户在进行sudo授权，即在sudo授权配置文件中给dxk授权
[root@admin sudoers.d]# vim sudorules
#添加如下内容：
dxk ALL= /usr/bin/more
#保存退出后使用sudo进行查看
[dxk@admin ~]$ sudo more /etc/shadow
[sudo] dxk 的密码：
root:$6$fgZhUhgS$GyLP1RsgL/cIH.Zx.U52bMJjga2yk90tBFNV9Up3ZNy59o.59r3GG7HmVwP
k3AEBh7dOUZYPo8zJXuT.WKhVA/:18456:0:10000:7:::
bin:*:18353:0:99999:7:::
……省以下信息……
dxk ALL= /usr/bin/more
表示dxk用户可以在任意主机上以root身份使用more命令，因为这里省略了指定切换到哪个用户下，所以默认为root，且需要输入dxk用户密码
【例 4】
用户组在sudo配置文件中的写法；
如果用户组出现在中sudo配置文件，前面要加%号，比如%dxk ，中间不能有空格；
%dxk ALL=/usr/sbin/*,/sbin/*
如果我们在 sudo配置文件中加上如上一行，表示dxk用户组下的所有成员，在所有可能的出现的主机名下，都能切换到root用户下运行 /usr/sbin和/sbin目录下的所有命令，但要输入dxk用户密码
【例 5】使用通配符
（1）
使admin002用户能够有权限使用/usr/sbin/下的所有命令，除了/usr/sbin/userdel并且不用输入admin002用户密码
admin002 ALL=(root) NOPASSWD: /usr/sbin,(root) NOPASSWD:!/usr/sbin/userdel
首先，我们可以看到，普通用户admin002是无法执行useradd、date -s修改系统时间等命令的
[admin002@admin ~]$ useradd newuser
useradd: Permission denied.
useradd：无法锁定 /etc/passwd，请稍后再试。
[admin002@admin ~]$ date -s 20200202
date: 无法设置日期: 不允许的操作
下面我们用root身份给admin002授权
[root@admin sudoers.d]# vim sudorules
#配置以下内容进行授权
admin002 ALL=(root) NOPASSWD:/usr/sbin/,(root) NOPASSWD:!/usr/sbin/userdel
验证：
[admin002@admin ~]$ sudo useradd newtest
[admin002@admin ~]$ cat /etc/passwd | grep newtest
newtest:x:1201:1201::/home/newtest:/bin/bash
[admin002@admin ~]$ sudo userdel newtest
对不起，用户 admin002 无权以 root 的身份在 admin 上执行 /sbin/userdel newtest。
（2）
使用户admin003能够有权限查看var/log/memssage后的所有文件
如果没有在给admin003授权，是不能查看的
[admin003@admin ~]$ sudo cat /var/log/messages
我们信任您已经从系统管理员那里了解了日常注意事项。
总结起来无外乎这三点：
#1) 尊重别人的隐私。
#2) 输入前要先考虑(后果和风险)。
#3) 权力越大，责任越大。
[sudo] admin003 的密码：
admin003 不在 sudoers 文件中。此事将被报告。
下面使用root用户对admin003用户授权：
[root@admin sudoers.d]# vim sudorules
#写入以下内容：
admin003 ALL=(root) NOPASSWD:/usr/bin/cat /var/log/messages*
#验证：
[admin003@admin ~]$ cat /var/log/messages #授权后要使用sudo执行
cat: /var/log/messages: 权限不够
[admin003@admin ~]$ sudo cat /var/log/messages
……省略以上输出内容……
Jul 28 22:18:18 admin systemd: Created slice User Slice of admin003.
Jul 28 22:18:18 admin systemd: Started Session 4 of user admin003.
Jul 28 22:18:18 admin systemd-logind: New session 4 of user admin003.
#可以看到查看成功
但是这样有一个问题：cat命令可以对文件进行拼接输出，所以也能看到其他文件
[admin003@admin ~]$ sudo cat /var/log/messages /etc/shadow
……省略以上输出内容……
admin092:$6$FYVIG6pR$uA4d8yVAGwKwGNWpwsaYZJlzkBVtb9AwEgHoPnplIjZ1zPMHqiWLv7WYschfkwk1tqYc9mMXR3IIP3gR8rLJe0:18470:0:99999:7:::
admin093:$6$tKo9iZ6i$CZt7mkQUDKueMZzKAgP.n4gKFjAtOvurukp02W2iNTdc0eWxrZ8J1CsCyMGfwf3ufx1EcN0OsYJPNZlnqO1L9.:20000:0:99999:7:::
newtest:!!:18471:0:99999:7:::
那么这样是及其不安全的，可以使用通配符来解决：
将授权文件内容改为
admin003 ALL=(root) NOPASSWD:/usr/bin/cat /var/log/messages*,!/usr/bin/cat /var/log/message* *
验证：
[admin003@admin ~]$ sudo cat /var/log/messages /etc/shadow
对不起，用户 admin003 无权以 root 的身份在 admin 上执行 /bin/cat /var/log/messages /etc/shadow。
[admin003@admin ~]$ sudo cat /var/log/messages
……省略以上输出内容……
Jul 28 22:18:18 admin systemd: Created slice User Slice of admin003.
Jul 28 22:18:18 admin systemd: Started Session 4 of user admin003.
Jul 28 22:18:18 admin systemd-logind: New session 4 of user admin003.
#messages等文件内容还是可以查看的
【例 7】别名的运用
（1）
使user1和user2用户能够有权限修改IP，使用别名实现，且不需要输入密码
User_Alias USER=user1,user2
Cmnd_Alias IP=/usr/sbin/ip
USER ALL=(root) NOPASSWD:IP
(2)
[root@admin sudoers.d]# vim sudorules
#写入以下内容：
User_Alias SYSADER=beinan,linuxsir,%beinan
User_Alias DISKADER=lanhaitun
Runas_Alias OP=root
Cmnd_Alias SYDCMD=/bin/chown,/bin/chmod,/usr/sbin/adduser,/usr/bin/passwd [A-Za-z]*,!/usr/bin/passwd root
Cmnd_Alias DSKCMD=/sbin/parted,/sbin/fdisk 注：定义命令别名DSKCMD，下有成员parted和fdisk ；
SYSADER ALL= SYDCMD,DSKCMD
DISKADER ALL=(OP) DSKCMD
注解：
第一行：定义用户别名SYSADER 下有成员 beinan、linuxsir和beinan用户组下的成员，用户组前面必须加%号；
第二行：定义用户别名 DISKADER ，成员有lanhaitun
第三行：定义Runas用户，也就是目标用户的别名为OP，下有成员root
第四行：定义SYSCMD命令别名，成员之间用,号分隔，最后的!/usr/bin/passwd root 表示不能通过passwd 来更改root密码；
第五行：定义命令别名DSKCMD，下有成员parted和fdisk ；
第 六行： 表示授权SYSADER下的所有成员，在所有可能存在的主机名的主机下运行或禁止 SYDCMD和DSKCMD下定义的命令。更为明确的说， 用户beinan、用户linuxsir和beinan用户组下的成员能以root身份运行 chown 、chmod 、adduser、passwd，但不能 更改root的密码；也可以以root身份运行 parted和fdisk ，本条规则的等价规则是；
beinan,linuxsir,%beinan ALL=/bin/chown,/bin/chmod,/usr/sbin/adduser,/usr/bin/passwd [A-Za-z]*,!/usr/bin/passwd root,/sbin/parted,/sbin/fdisk
第七行：表示授权DISKADER 下的所有成员，能以OP的身份，来运行 DSKCMD ，需要密码；更为明确的说 lanhaitun 能以root身份运行 parted和fdisk 命令；其等价规则是：
lanhaitun ALL=(root) /sbin/parted,/sbin/fdisk
如果不想输入用户的密码就能切换到root并运行SYDCMD和DSKCMD 下的命令，那应该写为：
SYSADER ALL= NOPASSWD: SYDCMD, NOPASSWD: DSKCMD