2008-01-30

sudo 指令使用說明

sudo 是 Unix/Linux 平臺上的一個非常有用的工具,它允許系統管理員分配給一般用戶合理的權限,讓他們執行一些只有系統管理員或其他特定帳號才能完成的任務,例如:執行 mount, halt, su 這類的指令,或者編輯系統設定檔 (/etc/mtab, /etc/samba/smb.conf 等)。這樣一來,不僅減少了 root 使用者的登錄次數和管理時間,也提高了系統安全性。

1. sudo 的特色


sudo 扮演的角色註定了它要在安全方面格外謹慎,否則就會導致非法用戶獲取 root 權限。同時,它還要兼顧易用性,讓系統管理員能夠更有效,更方便地使用它。sudo 設計者的宗旨是:給用戶盡可能少的權限但仍允許完成他們的工作。所以,sudo 有以下特點:
  1. 能夠限制指定用戶在指定主機上運行某些命令。
  2. 可以提供日誌,忠實地記錄每個用戶使用 sudo 做了些什麼,並且能將日誌傳到中心主機或者日誌伺服器。
  3. 為系統管理員提供配置文件,允許系統管理員集中地管理用戶的使用權限和使用的主機。它預設的存放位置是 /etc/sudoers。
  4. 使用時間戳文件來完成類似「售票」的系統。當用戶執行 sudo 並且輸入密碼後,用戶獲得了一張預設為期 5 分鐘的「入場券」(預設值可以在編譯的時更改)。超過時間以後,用戶必須重新輸入密碼。

2. sudo 命令


sudo 程式本身就是一個設置了 SUID 的二進位檔案。我們可以檢查一下它的權限:

[ jonny@localhost ~ ]
$ ls -l /usr/bin/sudo Enter
-rwsr-xr-x 2 root root 113048 Mar 1 2013 /usr/bin/sudo

它的所有者是 root,所以每個用戶都可以像 root 那樣執行該程式。設置了 SUID 的程式在運行時可以給使用者以所有者的 EUID。這也是為什麼設置了 SUID 的程式必須小心編寫。但是設置一個命令文件的 SUID 和用 sudo 來運行它是不同的概念,它們起著不同的作用。

sudo 的配置都記錄在 /etc/sudoers 文件中,我們下面將會詳細說明。配置文件指明哪些用戶可以執行哪些命令。要使用 sudo,用戶必須提供一個指定帳號和密碼。注意:sudo 需要的不是目標用戶的密碼,而是執行 sudo 的用戶的密碼。如果不在 sudoers 中的用戶通過 sudo 執行命令,sudo 會向管理員報告這一事件。用戶可以通過 sudo -v 來查看自己是否是在 sudoers 之中。如果是,它還可以更新你的「入場券」上的時間;如果不是,它會提示你,但不會通知管理員。

sudo 指令格式如下
sudo -K | -L | -V | -h | -k | -l | -vsudo [-HPSb] [-a auth_type] [-c class|-] [-p prompt] [-u username|#uid] {-e file [...] | -i | -s | command}

下面我們再來看一下 sudo 其他常用的一些參數:

選項 意義 作用
-h Help 列出使用方法,退出。
-V Version 顯示版本資訊,並退出。
-l List 列出當前用戶可以執行的命令。只有在 sudoers 裏的用戶才能使用該選項。
-u username | #uid User 以指定用戶的身份執行命令。後面的用戶是除 root 以外的,可以是用戶名,也可以是 #uid。
-k Kill 清除「入場卷」上的時間,下次再使用 sudo 時要再輸入密碼。
-K Sure kill 與 -k 類似,但是它還要撕毀「入場卷」,也就是刪除時間戳文件。
-b command Background 在後臺執行指定的命令。
-p prompt command Prompt 可以更改詢問密碼的提示語,其中 %u 會代換為使用者帳號名稱,%h 會顯示主機名稱。非常人性化的設計。
-e file Edit 不是執行命令,而是修改文件,相當於命令 sudoedit。

還有一些不常用的參數,在手冊頁 sudo(8) 中可以找到。

3. 配置 sudo


配置 sudo 必須通過編輯 /etc/sudoers 文件,而且只有超級用戶才可以修改它,還必須使用 visudo 編輯。之所以使用 visudo 有兩個原因,一是它能夠防止兩個用戶同時修改它;二是它也能進行有限的語法檢查。所以,即使只有你一個超級用戶,你也最好用 visudo 來檢查一下語法。

visudo 預設的是在 vi 裏打開配置文件,用 vi 來修改文件。我們可以在編譯時修改這個預設值。visudo 不會擅自保存帶有語法錯誤的配置文件,它會提示你出現的問題,並詢問該如何處理,就像:
sudoers file: syntax error, line 22

此時我們有三種選擇:鍵入 e 是重新編輯,鍵入 x 是不保存退出,鍵入 Q 是退出並保存。如果真選擇 Q,那麼 sudo 將不會再運行,直到錯誤被糾正。

現在,我們一起來看一下神秘的配置文件,學一下如何編寫它。讓我們從一個簡單的例子開始:讓用戶 jonny 可以通過 sudo 執行所有 root 可執行的命令。以 root 身份用 visudo 打開配置文件,可以看到類似下面幾行:
# Runas alias specification
# User privilege specificationroot ALL=(ALL)ALL

我們一看就明白個差不多了,root 有所有權限,只要仿照現有 root 的例子就行,我們在下面加一行 (最好用 Tab 作為空白):
jonny ALL=(ALL) ALL

保存退出後,切換到 jonny 用戶,我們用它的身份執行命令:
[ jonny@localhost ~ ]
$ ls /root Enter
ls: /root: 權限不夠

[ jonny@localhost ~ ]
$ sudo ls /root Enter
Password:
anaconda-ks.cfg Desktop install.log install.log.syslog

好了,我們限制一下 jonny 的權利,不讓他為所欲為。比如我們只想讓他像 root 那樣使用 ls 和 ifconfig,把那一行改為:
jonny localhost= /sbin/ifconfig, /bin/ls

再來執行命令:
[ jonny@localhost ~ ]
$ sudo head -5 /etc/shadow Enter
Password:Sorry, user jonny is not allowed to execute '/usr/bin/head -5 /etc/shadow' as root on localhost.localdomain.

[ jonny@localhost ~ ]
$ sudo /sbin/ifconfigeth0 Linkencap:Ethernet HWaddr 00:14:85:EC:E9:9B... Enter

現在讓我們來看一下那三個 ALL 到底是什麼意思。第一個 ALL 是指網路中的主機,我們後面把它改成了主機名,它指明 jonny 可以在此主機上執行後面 的命令。第二個括弧裏的 ALL 是指目標用戶也就是以誰的身份去執行命令。最後一個 ALL 當然就是指命令名了。例如,我們想讓 jonny 用戶在 Linux 主機上以 jimmy 或 rene 的身份執行 kill 命令,這樣編寫配置文件:
jonny linux=(jimmy,rene) /bin/kill

但這還有個問題,jonny 到底以 jimmy 還是 rene 的身份執行?這時我們應該想到了 sudo -u 了,它正是用在這種時候。 jonny 可以使用 sudo -u jimmy kill PID 或者 sudo -u rene kill PID,但這樣挺麻煩,其實我們可以不必每次加 -u,把 rene 或 jimmy 設為預設的目標用戶即可。再在上面加一行:
Defaults:jonny runas_default=rene

Defaults 後面如果有冒號,是設定後面用戶的預設值,如果沒有,則是設定所有用戶的預設值。就像配置文件中自帶的一行
Defaults env_reset

另一個問題是,很多時候,我們本來就登錄了,每次使用sudo還要輸入密碼就顯得煩瑣了。我們可不可以不再輸入密碼呢?當然可以,我們這樣修改配置文件:
jonny localhost=NOPASSWD: /bin/cat, /bin/ls

再來 sudo 一下:
[ jonny@localhost ~ ]
$ sudo ls /rootanaconda-ks.cfg Desktop install.log Enter
install.log.syslog

當然,你也可以說「某些命令用戶 jonny 不可以運行」,通過使用 ! 符號,但這不是一個好主意。因為,用 ! 操作符來從 ALL 中剔除一些命令一般是沒什麼效果的,一個用戶完全可以把那個命令拷貝到別的地方,換一個名字後再來運行。

4. 日誌與安全


sudo 為安全考慮得很週到,不僅可以記錄日誌,還能在有必要時向系統管理員報告。但是,sudo 的日誌功能不是自動的,必須由管理員開啟。這樣來做:
[ jonny@localhost ~ ]
$ sudo touch /var/log/sudo Enter

[ jonny@localhost ~ ]
$ sudo vi /etc/syslog.conf Enter

在 syslog.conf 最後面加一行 (必須用 Tab 分割開) 並保存:
local2.debug /var/log/sudo

重啟日誌背景行程。
[ jonny@localhost ~ ]
$ ps aux | grep syslogd Enter

把得到的 syslogd 進程的 PID (輸出的第二列是 PID) 填入下面:
[ jonny@localhost ~ ]
$ kill –HUP $PID Enter

這樣,sudo 就可以寫日誌了:
[ jonny@localhost ~ ]
$ sudo ls /rootanaconda-ks.cfg Enter
Desktop install.log
install.log.syslog
$cat /var/log/sudoJul 28 22:52:54 localhost sudo: jonny :
TTY=pts/1 ; PWD=/home/jonny ; USER=root ; COMMAND=/bin/ls /root

不過,有一個小小的「缺陷」,sudo 記錄日誌並不是很忠實:
[ jonny@localhost ~ ]
$ sudo cat /etc/shadow > /dev/null Enter

[ jonny@localhost ~ ]
$ cat /var/log/sudo Enter
...
Jul 28 23:10:24 localhost sudo: jonny : TTY=pts/1 ; PWD=/home/jonny ; USER=root ; COMMAND=/bin/cat /etc/shadow

重定向沒有被記錄在案!為什麼?因為在命令運行之前,shell 把重定向的工作做完了,sudo 根本就沒看到重定向。這也有個好處,下面的手段不會得逞:
[ jonny@localhost ~ ]
$ sudo ls /root > /etc/shadow
-bash: /etc/shadow: 權限不足

sudo 有自己的方式來保護安全。以 root 的身份執行 sudo -V,查看一下 sudo 的設置。因為考慮到安全問題,一部分環境變數並沒有傳遞給 sudo 後面的命令,或者被檢查後再傳遞的,比如:PATH, HOME, SHELL 等。當然,你也可以通過 sudoers 來配置這些環境變數。

如上所見,sudo 對於控制和審查 root 的訪問很有幫助,它能讓系統管理員更有效,安全地管理系統。掌握 sudo 的正確使用也是對於系統管理員的良好訓練。本文只是初步地介紹 sudo 的使用。

資料來源:
Linux 作業系統下 sudo 命令的使用方法說明 | 賽迪網 - kit