Linux系統SUDO的使用定義及設定
什麼是sudo？
Sudo是可以讓某個用户不需要擁有(管理員)的賬號密碼，可以執行管理員的權限的。
作為管理員可以指派某些用户可以執行某些 特定命令。
Sudo的特點
它的特性主要有这样幾點：
Sudo能够限制用户只在某台主機上運行某些命令
Sudo提供了豐富的日志，詳细地記錄了每個用户幹了什麼。
它能够將日記傳到中心主機或者日記服務器
Sudo使用時間戳文件來執行類似的“檢票”系统。當用户調用 sudo并且输入它的密碼時，
用户获得了一张存活期为5分钟的票 (这个值可以在编译的时候改变)
Sudo的配置文件是sudoers文件，它允许系统管理员集中的管理 用户的使用权限和使用的主机。
它所存放的位置默认是在 /etc/sudoers，属性为0440
##chmod 440 /etc/sudoers.d/sudo_user
##把這個文本檔的權限設定為440，是比較安全的動作。是只有(uid,gid==>r)權限
配置文件：/etc/sudoers （sudo的配置文件定义很严格权 限为400）
语法 who which_host=(whom) command
user host=(runas) command
编辑命令visudo
or
visudo -f /etc/sudoers.d/sudo_user
sudo 授權使用的方法。
ls -l /usr/bin/sudo
sudo –i –u [centos | fedora | gentoo | etc...] 切换身份
##這個是要有授權之下才可以使用的(切換身份)。
##而平時的"su centos"方式切換身份，只要有密碼就可以切換身份。
sudo [-u user] COMMAND
-V 显示版本信息等配置信息
-u user 默认为root
-l,ll 列出用户在主机上可用的和被禁止的命令
EX:sudo -l -u centos ==>這是查看用戶centos，有什麼在sudo的授權權限。
EX:sudo -l ==>這是default查看root，有什麼授權權限。因為現在是用root來工作
or
或者用gentoo登入後，使用sudo -level
EX:sudo -l ==>這是default就是查看gentoo的sudo，有什麼授權權限。
EX:sudo -ll ==>就是detail，只是多了一些細分的項目。
##這個有一個好處，是在當自己登入系時，來查看一下自己有什麼sudo權限可以使用。
-v 再延长密码有效期限5分钟,更新时间戳
EX:sudo -v ==>以gentoo為一個例子，只要"sudo -v"一下，就會即時(擦新一下)登入時間，
那麼，有效期限5分钟，就會以現在再開始計算。
-k 清除时间戳（1970-01-01），下次需要重新输密码
-K 与-k类似，还要删除时间戳文件
EX:用戶在登出時，先用這個"sudo -K"一下，就可以把自己的時間戳記錄清除。
注釋:時間戳的位置在"/var/run/sudo/ts"裡面，用戶不能看
-b 在后台执行指令
##這個"-b"的使用是說，所執行的cmd，不會在當前的terminal上查看效果显示，但實際上面是在後台裡面工作。
##如果是一些在執行時間上面，是比較長。可以使用這個"-b,後台工作"，這樣可以接著做其他項目。
-p 改变询问密码的提示符号
示例：-p ”password on %h for user %p:"
##在使用sudo時，系統會有一個提示句，要求用戶輸入，就是這個提示標句語。
EX: sudo -p "”password on %h for user %p:" cat /etc/shadow
##這是結果效果: "password on centos7cn for user centos:"
EX: sudo -p "”password on $(date) for user %p:" cat /etc/sdadow
##這是結果效果: "password on 2018年 11月 10日 星期六 15:53:53 CST for user centos:"
##sudoedit ==>"/usr/bin/sudoedit" ==>這是一個給修改權限的功能，其效果等同root。
EX:fedora ALL=(ALL) sudoedit
##:在fedora登入之後。
EX:sudoedit /etc/sudoers ==>這就能修改裡面的權限和使用
注釋:在使用visudo時，先在"/etc/profile.d/xxxxx"建立一個文本文檔，加入下面一包及即行執行一下就可以。
*** >>export EDITOR=vim ##這個是想把vim裡面的特性效果，調出來使用。
>>vim /etc/profile.d/"這是一個enrironment文" ##把這一句加入去裡面，再执行一下就可以，可以建立一個新文本(如果之前，己有設定environment本文，可以加入去。)
=================== =================== ===================
>>用戶 登入主機=(代表用戶) 命令
##user和runas的名字使用方 ==> username (EX:centos)
#uid (EX:#1001)
%group_name (EX:%fedora)
%#gid (EX:%#980)
##別名使用和設定
##user==User_Alias XXXX || host==Host_Alias || runas==Runas_Alias || command==Cmnd_Alias
>>User_Alias MBA1=centos,fedora,suse,redhat,debian,gentoo
>>Cmnd_Alias CMD1=/usr/bin/mount,/usr/bin/yum,usr/sbin/fdisk
##之後就可以用來調用。
>>MBA1 ALL=(root) CMD1 ==>這使用別名，是方便使用和查看和修改
##Example:設定方式(使用別名方式)
==> -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- --
User_Alias SYSADER=fedora,centos,%super ##這個是一次設定多個用戶或者組的別名使用方法。
User_Alias DISKADER=coffee ##這個是給一個用戶
Host_Alias SERS=www.mycoffee.com,172.16.0.0/24 ##這個設定主機的位置
Runas_Alias OP=root ##這個是授權出來的用戶
Cmnd_Alias SYDCMD=/bin/chown,/bin/chmod ##這個是要使用的命令語和位置，使用(,)來分隔
Cmnd_Alias DSKCMD=/sbin/parted,/sbin/fdisk ##這個是同上
-- -- -- -- -- -- -- -- -- -- -- --
SYSADER SERS= SYDCMD,DSKCMD ==>這一個在runas是留空白，就代表是用default to root
DISKADER SERS=(OP) DSKCMD ==>這個就是全部用上了別名的效果
=== === === === === === === === === === === === === === ===
==> -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- --
User_Alias ADMINUSER = adminuser1,adminuser2
Cmnd_Alias ADMINCMD = /usr/sbin/useradd, /usr/sbin/usermod, /usr/bin/passwd [a-zA-Z]*, !/usr/bin/passwd root
##在這一條cmd裡面的最後一個，是要注意，是說明只是(root)是不能修改。
-- -- -- -- -- -- -- -- -- -- -- --
ADMINUSER ALL=(root) NOPASSWD:ADMINCMD, PASSWD:/usr/sbin/userdel
##這一行在最後面是說明，在使用"userdel"用要密碼登入才可以。
=== === === === === === === === === === === === === === ===
==> -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- --
Defaults:gentoo runas_default=fedora ==>這是加一個default設定在用戶gentoo裡面。
gentoo ALL=(fedora,centos) ALL ==>這個是說在用戶gentoo登入使用時，用sudo時使用fedora是不用加上[-u user]
EX:sudo mount /dev/sr0 /mnt/ ##這個就是default是用fedora的權限
EX:sudo -u centos yum update ##而使用centos的權限就要用[-u user]指定使用。
=== === === === === === === === === === === === === === ===
==> -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- --
gentoo 192.168.175.136,192.168.175.138=(root) /usr/sbin/,!/usr/sbin/useradd
##這裡有兩個host的IP位置，可以使用sudo的這一行的(權限分配/授權)
##command(第一個): 是說在這"/usr/sbin/"裡面的所有cmd都可以使用
##command(第二個): 是說在"!/usr/sbin/useradd"這一個command是不能用
=== === === === === === === === === === === === === === ===
==> -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- --
gentoo ALL=(ALL) /bin/cat /var/log/messages* ##這是不能使用的方式。
##這是漏洞所以不要用這個方式來授權。(問題在結尾，不要加*號，這是不小心的地方。)
==> -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- --
#Example:
>>%wheel ALL=(ALL) NOPASSWD:ALL ==>這一個的"NOPASSWD"加在command的前面，就是說，這(用戶或組)使用者，
不需要輸入密碼，都可以執行。這個在(腳本script)裡面使用就會發揮作用。
==> -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- --
#Example
>>visudo or visudo -f /etc/sudoers.d/sudo_user
>>fedora 192.168.11.11=(root) /bin/mount /dev/sr0 /mnt/ ==>這個是指定了主機的使用
or
>>fedora ALL=(root) /bin/mount /dev/sr0 /mnt/ ==>這個是任何主機都可以使用
==> -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- --
#group ID方式的授權機制。
##%wheel ALL=(ALL) ALL ==>這一行是說，當任何一個用戶是這個(group)，就會有所有權限的工作。
>>usermod -aG "wheel" fedora ==>在sudoers裡面的group名是用"wheel"，所以現在是加這個的group名資。
>>sudo .... ==>這時就可以有root的全部使用權。
>>gpasswd -d fedora wheel ==>在這個group裡面的用戶清除出來。
##注釋:由於"wheel"這個組的權限過大，即是全部的權，所不要隨意把用戶加入這個組。及最在沒有用時把這個組前面加上"#、不生效"會好一點。
#在/etc/sudoers裡面有一行是root ALL=(ALL) ALL
##這一行的意思是有一個特別的用法在裡面。
##當root賬戶的權限被移到，普通用戶時，就可以用sudo的功能把/etc/passwd的資料修改回去。
>>sudo -u coffee vi /etc/passwd ==>現在用戶coffee是有權限的用戶，引用回這個用戶去修改資料。
==>這樣root就可以通過這方法，在/etc/passwd改回自己的權限。
#Example: (用戶 和 用戶)之間的使用權(交換或授權)的使用方法。
例如: 用戶"centos"需要使用，用戶"fedora"的用戶權(身份)工作。
>> centos ALL=(fedora) ALL ==>這樣centos可以用fedora的所有使用權的身份工作，即是用fedora的身份工作
#Example: visudo or visudo -f /etc/sudoers.d/sudo_user 在這兩位置裡面，其中之一只要是加入一行
>> centos ALL=(ALL) ALL ==>centos ==>這時centos就會是root的權限，所以設置用戶時要小心。