sudo 指令使用說明
sudo 是 Unix/Linux 平臺上的一個非常有用的工具，它允許系統管理員分配給一般用戶合理的權限，讓他們執行一些只有系統管理員或其他特定帳號才能完成的任務，例如：執行 mount, halt, su 這類的指令，或者編輯系統設定檔 (/etc/mtab, /etc/samba/smb.conf 等)。這樣一來，不僅減少了 root 使用者的登錄次數和管理時間，也提高了系統安全性。
sudo 扮演的角色註定了它要在安全方面格外謹慎，否則就會導致非法用戶獲取 root 權限。同時，它還要兼顧易用性，讓系統管理員能夠更有效，更方便地使用它。sudo 設計者的宗旨是：給用戶盡可能少的權限但仍允許完成他們的工作。所以，sudo 有以下特點：
sudo 程式本身就是一個設置了 SUID 的二進位檔案。我們可以檢查一下它的權限：
它的所有者是 root，所以每個用戶都可以像 root 那樣執行該程式。設置了 SUID 的程式在運行時可以給使用者以所有者的 EUID。這也是為什麼設置了 SUID 的程式必須小心編寫。但是設置一個命令文件的 SUID 和用 sudo 來運行它是不同的概念，它們起著不同的作用。
sudo 的配置都記錄在 /etc/sudoers 文件中，我們下面將會詳細說明。配置文件指明哪些用戶可以執行哪些命令。要使用 sudo，用戶必須提供一個指定帳號和密碼。注意：sudo 需要的不是目標用戶的密碼，而是執行 sudo 的用戶的密碼。如果不在 sudoers 中的用戶通過 sudo 執行命令，sudo 會向管理員報告這一事件。用戶可以通過 sudo -v 來查看自己是否是在 sudoers 之中。如果是，它還可以更新你的「入場券」上的時間；如果不是，它會提示你，但不會通知管理員。
sudo 指令格式如下
下面我們再來看一下 sudo 其他常用的一些參數：
還有一些不常用的參數，在手冊頁 sudo(8) 中可以找到。
配置 sudo 必須通過編輯 /etc/sudoers 文件，而且只有超級用戶才可以修改它，還必須使用 visudo 編輯。之所以使用 visudo 有兩個原因，一是它能夠防止兩個用戶同時修改它；二是它也能進行有限的語法檢查。所以，即使只有你一個超級用戶，你也最好用 visudo 來檢查一下語法。
visudo 預設的是在 vi 裏打開配置文件，用 vi 來修改文件。我們可以在編譯時修改這個預設值。visudo 不會擅自保存帶有語法錯誤的配置文件，它會提示你出現的問題，並詢問該如何處理，就像：
此時我們有三種選擇：鍵入 e 是重新編輯，鍵入 x 是不保存退出，鍵入 Q 是退出並保存。如果真選擇 Q，那麼 sudo 將不會再運行，直到錯誤被糾正。
現在，我們一起來看一下神秘的配置文件，學一下如何編寫它。讓我們從一個簡單的例子開始：讓用戶 jonny 可以通過 sudo 執行所有 root 可執行的命令。以 root 身份用 visudo 打開配置文件，可以看到類似下面幾行：
我們一看就明白個差不多了，root 有所有權限，只要仿照現有 root 的例子就行，我們在下面加一行 (最好用 Tab 作為空白)：
保存退出後，切換到 jonny 用戶，我們用它的身份執行命令：
好了，我們限制一下 jonny 的權利，不讓他為所欲為。比如我們只想讓他像 root 那樣使用 ls 和 ifconfig，把那一行改為：
再來執行命令：
現在讓我們來看一下那三個 ALL 到底是什麼意思。第一個 ALL 是指網路中的主機，我們後面把它改成了主機名，它指明 jonny 可以在此主機上執行後面 的命令。第二個括弧裏的 ALL 是指目標用戶也就是以誰的身份去執行命令。最後一個 ALL 當然就是指命令名了。例如，我們想讓 jonny 用戶在 Linux 主機上以 jimmy 或 rene 的身份執行 kill 命令，這樣編寫配置文件：
但這還有個問題，jonny 到底以 jimmy 還是 rene 的身份執行？這時我們應該想到了 sudo -u 了，它正是用在這種時候。 jonny 可以使用 sudo -u jimmy kill PID 或者 sudo -u rene kill PID，但這樣挺麻煩，其實我們可以不必每次加 -u，把 rene 或 jimmy 設為預設的目標用戶即可。再在上面加一行：
Defaults 後面如果有冒號，是設定後面用戶的預設值，如果沒有，則是設定所有用戶的預設值。就像配置文件中自帶的一行
另一個問題是，很多時候，我們本來就登錄了，每次使用sudo還要輸入密碼就顯得煩瑣了。我們可不可以不再輸入密碼呢？當然可以，我們這樣修改配置文件：
再來 sudo 一下：
當然，你也可以說「某些命令用戶 jonny 不可以運行」，通過使用 ! 符號，但這不是一個好主意。因為，用 ! 操作符來從 ALL 中剔除一些命令一般是沒什麼效果的，一個用戶完全可以把那個命令拷貝到別的地方，換一個名字後再來運行。
sudo 為安全考慮得很週到，不僅可以記錄日誌，還能在有必要時向系統管理員報告。但是，sudo 的日誌功能不是自動的，必須由管理員開啟。這樣來做：
在 syslog.conf 最後面加一行 (必須用 Tab 分割開) 並保存：
重啟日誌背景行程。
把得到的 syslogd 進程的 PID (輸出的第二列是 PID) 填入下面：
這樣，sudo 就可以寫日誌了：
不過，有一個小小的「缺陷」，sudo 記錄日誌並不是很忠實：
重定向沒有被記錄在案！為什麼？因為在命令運行之前，shell 把重定向的工作做完了，sudo 根本就沒看到重定向。這也有個好處，下面的手段不會得逞：
sudo 有自己的方式來保護安全。以 root 的身份執行 sudo -V，查看一下 sudo 的設置。因為考慮到安全問題，一部分環境變數並沒有傳遞給 sudo 後面的命令，或者被檢查後再傳遞的，比如：PATH, HOME, SHELL 等。當然，你也可以通過 sudoers 來配置這些環境變數。
如上所見，sudo 對於控制和審查 root 的訪問很有幫助，它能讓系統管理員更有效，安全地管理系統。掌握 sudo 的正確使用也是對於系統管理員的良好訓練。本文只是初步地介紹 sudo 的使用。
1. sudo 的特色
sudo 扮演的角色註定了它要在安全方面格外謹慎，否則就會導致非法用戶獲取 root 權限。同時，它還要兼顧易用性，讓系統管理員能夠更有效，更方便地使用它。sudo 設計者的宗旨是：給用戶盡可能少的權限但仍允許完成他們的工作。所以，sudo 有以下特點：
- 能夠限制指定用戶在指定主機上運行某些命令。
- 可以提供日誌，忠實地記錄每個用戶使用 sudo 做了些什麼，並且能將日誌傳到中心主機或者日誌伺服器。
- 為系統管理員提供配置文件，允許系統管理員集中地管理用戶的使用權限和使用的主機。它預設的存放位置是 /etc/sudoers。
- 使用時間戳文件來完成類似「售票」的系統。當用戶執行 sudo 並且輸入密碼後，用戶獲得了一張預設為期 5 分鐘的「入場券」(預設值可以在編譯的時更改)。超過時間以後，用戶必須重新輸入密碼。
2. sudo 命令
sudo 程式本身就是一個設置了 SUID 的二進位檔案。我們可以檢查一下它的權限：
[ jonny@localhost ~ ]
$ ls -l /usr/bin/sudo Enter
-rwsr-xr-x 2 root root 113048 Mar 1 2013 /usr/bin/sudo
它的所有者是 root，所以每個用戶都可以像 root 那樣執行該程式。設置了 SUID 的程式在運行時可以給使用者以所有者的 EUID。這也是為什麼設置了 SUID 的程式必須小心編寫。但是設置一個命令文件的 SUID 和用 sudo 來運行它是不同的概念，它們起著不同的作用。
sudo 的配置都記錄在 /etc/sudoers 文件中，我們下面將會詳細說明。配置文件指明哪些用戶可以執行哪些命令。要使用 sudo，用戶必須提供一個指定帳號和密碼。注意：sudo 需要的不是目標用戶的密碼，而是執行 sudo 的用戶的密碼。如果不在 sudoers 中的用戶通過 sudo 執行命令，sudo 會向管理員報告這一事件。用戶可以通過 sudo -v 來查看自己是否是在 sudoers 之中。如果是，它還可以更新你的「入場券」上的時間；如果不是，它會提示你，但不會通知管理員。
sudo 指令格式如下
sudo -K | -L | -V | -h | -k | -l | -vsudo [-HPSb] [-a auth_type] [-c class|-] [-p prompt] [-u username|#uid] {-e file [...] | -i | -s | command}下面我們再來看一下 sudo 其他常用的一些參數：
| 選項 | 意義 | 作用 |
|---|---|---|
| -h | Help | 列出使用方法，退出。 |
| -V | Version | 顯示版本資訊，並退出。 |
| -l | List | 列出當前用戶可以執行的命令。只有在 sudoers 裏的用戶才能使用該選項。 |
| -u | username | #uid | User 以指定用戶的身份執行命令。後面的用戶是除 root 以外的，可以是用戶名，也可以是 #uid。 |
| -k | Kill | 清除「入場卷」上的時間，下次再使用 sudo 時要再輸入密碼。 |
| -K | Sure kill | 與 -k 類似，但是它還要撕毀「入場卷」，也就是刪除時間戳文件。 |
| -b command | Background | 在後臺執行指定的命令。 |
| -p prompt command | Prompt | 可以更改詢問密碼的提示語，其中 %u 會代換為使用者帳號名稱，%h 會顯示主機名稱。非常人性化的設計。 |
| -e file | Edit | 不是執行命令，而是修改文件，相當於命令 sudoedit。 |
還有一些不常用的參數，在手冊頁 sudo(8) 中可以找到。
3. 配置 sudo
配置 sudo 必須通過編輯 /etc/sudoers 文件，而且只有超級用戶才可以修改它，還必須使用 visudo 編輯。之所以使用 visudo 有兩個原因，一是它能夠防止兩個用戶同時修改它；二是它也能進行有限的語法檢查。所以，即使只有你一個超級用戶，你也最好用 visudo 來檢查一下語法。
visudo 預設的是在 vi 裏打開配置文件，用 vi 來修改文件。我們可以在編譯時修改這個預設值。visudo 不會擅自保存帶有語法錯誤的配置文件，它會提示你出現的問題，並詢問該如何處理，就像：
sudoers file: syntax error, line 22
此時我們有三種選擇：鍵入 e 是重新編輯，鍵入 x 是不保存退出，鍵入 Q 是退出並保存。如果真選擇 Q，那麼 sudo 將不會再運行，直到錯誤被糾正。
現在，我們一起來看一下神秘的配置文件，學一下如何編寫它。讓我們從一個簡單的例子開始：讓用戶 jonny 可以通過 sudo 執行所有 root 可執行的命令。以 root 身份用 visudo 打開配置文件，可以看到類似下面幾行：
# Runas alias specification
# User privilege specificationroot ALL=(ALL)ALL
我們一看就明白個差不多了，root 有所有權限，只要仿照現有 root 的例子就行，我們在下面加一行 (最好用 Tab 作為空白)：
jonny ALL=(ALL) ALL
保存退出後，切換到 jonny 用戶，我們用它的身份執行命令：
[ jonny@localhost ~ ]
$ ls /root Enter
ls: /root: 權限不夠
[ jonny@localhost ~ ]
$ sudo ls /root Enter
Password:
anaconda-ks.cfg Desktop install.log install.log.syslog
好了，我們限制一下 jonny 的權利，不讓他為所欲為。比如我們只想讓他像 root 那樣使用 ls 和 ifconfig，把那一行改為：
jonny localhost= /sbin/ifconfig, /bin/ls
再來執行命令：
[ jonny@localhost ~ ]
$ sudo head -5 /etc/shadow Enter
Password:Sorry, user jonny is not allowed to execute '/usr/bin/head -5 /etc/shadow' as root on localhost.localdomain.
[ jonny@localhost ~ ]
$ sudo /sbin/ifconfigeth0 Linkencap:Ethernet HWaddr 00:14:85:EC:E9:9B... Enter
現在讓我們來看一下那三個 ALL 到底是什麼意思。第一個 ALL 是指網路中的主機，我們後面把它改成了主機名，它指明 jonny 可以在此主機上執行後面 的命令。第二個括弧裏的 ALL 是指目標用戶也就是以誰的身份去執行命令。最後一個 ALL 當然就是指命令名了。例如，我們想讓 jonny 用戶在 Linux 主機上以 jimmy 或 rene 的身份執行 kill 命令，這樣編寫配置文件：
jonny linux=(jimmy,rene) /bin/kill
但這還有個問題，jonny 到底以 jimmy 還是 rene 的身份執行？這時我們應該想到了 sudo -u 了，它正是用在這種時候。 jonny 可以使用 sudo -u jimmy kill PID 或者 sudo -u rene kill PID，但這樣挺麻煩，其實我們可以不必每次加 -u，把 rene 或 jimmy 設為預設的目標用戶即可。再在上面加一行：
Defaults:jonny runas_default=rene
Defaults 後面如果有冒號，是設定後面用戶的預設值，如果沒有，則是設定所有用戶的預設值。就像配置文件中自帶的一行
Defaults env_reset
另一個問題是，很多時候，我們本來就登錄了，每次使用sudo還要輸入密碼就顯得煩瑣了。我們可不可以不再輸入密碼呢？當然可以，我們這樣修改配置文件：
jonny localhost=NOPASSWD: /bin/cat, /bin/ls
再來 sudo 一下：
[ jonny@localhost ~ ]
$ sudo ls /rootanaconda-ks.cfg Desktop install.log Enter
install.log.syslog
當然，你也可以說「某些命令用戶 jonny 不可以運行」，通過使用 ! 符號，但這不是一個好主意。因為，用 ! 操作符來從 ALL 中剔除一些命令一般是沒什麼效果的，一個用戶完全可以把那個命令拷貝到別的地方，換一個名字後再來運行。
4. 日誌與安全
sudo 為安全考慮得很週到，不僅可以記錄日誌，還能在有必要時向系統管理員報告。但是，sudo 的日誌功能不是自動的，必須由管理員開啟。這樣來做：
[ jonny@localhost ~ ]
$ sudo touch /var/log/sudo Enter
[ jonny@localhost ~ ]
$ sudo vi /etc/syslog.conf Enter
在 syslog.conf 最後面加一行 (必須用 Tab 分割開) 並保存：
local2.debug /var/log/sudo
重啟日誌背景行程。
[ jonny@localhost ~ ]
$ ps aux | grep syslogd Enter
把得到的 syslogd 進程的 PID (輸出的第二列是 PID) 填入下面：
[ jonny@localhost ~ ]
$ kill –HUP $PID Enter
這樣，sudo 就可以寫日誌了：
[ jonny@localhost ~ ]
$ sudo ls /rootanaconda-ks.cfg Enter
Desktop install.log
install.log.syslog
$cat /var/log/sudoJul 28 22:52:54 localhost sudo: jonny :
TTY=pts/1 ; PWD=/home/jonny ; USER=root ; COMMAND=/bin/ls /root
不過，有一個小小的「缺陷」，sudo 記錄日誌並不是很忠實：
[ jonny@localhost ~ ]
$ sudo cat /etc/shadow > /dev/null Enter
[ jonny@localhost ~ ]
$ cat /var/log/sudo Enter
...
Jul 28 23:10:24 localhost sudo: jonny : TTY=pts/1 ; PWD=/home/jonny ; USER=root ; COMMAND=/bin/cat /etc/shadow
重定向沒有被記錄在案！為什麼？因為在命令運行之前，shell 把重定向的工作做完了，sudo 根本就沒看到重定向。這也有個好處，下面的手段不會得逞：
[ jonny@localhost ~ ]
$ sudo ls /root > /etc/shadow
-bash: /etc/shadow: 權限不足
sudo 有自己的方式來保護安全。以 root 的身份執行 sudo -V，查看一下 sudo 的設置。因為考慮到安全問題，一部分環境變數並沒有傳遞給 sudo 後面的命令，或者被檢查後再傳遞的，比如：PATH, HOME, SHELL 等。當然，你也可以通過 sudoers 來配置這些環境變數。
如上所見，sudo 對於控制和審查 root 的訪問很有幫助，它能讓系統管理員更有效，安全地管理系統。掌握 sudo 的正確使用也是對於系統管理員的良好訓練。本文只是初步地介紹 sudo 的使用。
資料來源：
★ Linux 作業系統下 sudo 命令的使用方法說明 | 賽迪網 - kit
留言
張貼留言
喜歡這篇文章嗎？歡迎在底下留言讓凍仁知道。😉