visudo使用笔记

目录
前言
一、介绍
二、配置文件简介
三、实战配置

 

前言：
    su 的确为管理带来方便，通过切换到root下，能完成所有系统管理工具，只要把root的密码交给任何一个普通用户，他都能切换到root来完成所有的系统管理工作；但通过su切换到root后，也有不安全因素；比如系统有10个用户，而且都参与管理。如果这10个用户都涉及到超级权限的运用，做为管理员如果想让其它用户通过su来切换到超级权限的root，必须把root权限密码都告诉这10个用户；如果这10个用户都有root权限，通过root权限可以做任何事，这在一定程度上就对系统的安全造成了威协。因此sudo产生了。
    我们可以把sudo理解成是系统管理员有针对性地把权限下放，也就是“放权”，因此，被“授权”的用户如果想要以root的身份执行某些命令/操作，只需要输入该用户的密码即可，无需知晓我们的root密码是多少，当执行完成后，直接退回到当前用户。这样子的约束大大地提高了系统管理的安全性。
    当然，这一切的大前提就是通过sudo的配置文件/etc/sudoers来进行授权。

 

 

一、介绍:
    sudo的配置文档是/etc/sudoers ，我们能够用他的专用编辑工具visudo对其进行编辑 ，此工具的好处是在添加规则有误时，保存退出会提示给我们错误信息；

附注：如果没有visudo命令 需要 yum install -y sudo

    配置完毕后，如果想知道哪些命令是您当前用户能够执行或禁止的，可通过切换至该用户身份，然后通过sudo -l 查看；

    如果不太熟悉用户身份切换的可参考以下链接：Linux系统用户及用户组管理

 

 

二、配置文件简介：
    /etc/sudoers 文件有其书写格式，其中有别名类型以及“放权格式”，下面我们来一一介绍。

别名类型包括如下四种：
Host_Alias  定义主机名别名；
User_Alias  用户别名，别名成员能够是用户，用户组（前面要加%号）
Runas_Alias 用来定义runas别名，这个别名指定的是“目的用户”，即sudo 允许转换至的用户；
Cmnd_Alias  定义命令别名；

需要注意的是：
1.在每一种Alias后面定义的别名 NAME 可以是包含大写字母、下划线连同数字，但必须以一个大写字母开头
2.配置文件中的 Default env_reset 表示重置（就是去除）用户定义的环境变量，也就是说，当你用sudo执行一个命令的时候，你当前用户设置的所有环境变量都是无效的。

放权格式：
授权用户/组    主机名=（允许转换至的用户）   NOPASSWD:命令动作
红色标注的三个要素缺一不可，但在动作之前也能够指定转换到特定用户下，在这里指定转换的用户要用( )号括起来，
假如无需密码直接运行命令的，应该加NOPASSWD:参数，不需要时方可省略，下面介绍中会有NOPASSWD的使用示例。

 

 

三、实战配置：
    说了这么多，进入正题吧。我们先把配置放出来，然后通过注释了解上面内容的使用方法

User_Alias SYSADER=beinan,linuxsir,%beinan

User_Alias DISKADER=lanhaitun

Runas_Alias OP=root

Cmnd_Alias SYDCMD=/bin/chown,/bin/chmod,/usr/sbin/adduser,/usr/bin/passwd [A-Za-z]*,!/usr/bin/passwd root（注意这里的！）

Cmnd_Alias DSKCMD=/sbin/parted,/sbin/fdisk 注：定义命令别名DSKCMD，下有成员parted和fdisk ；
   
   SYSADER  ALL= SYDCMD,DSKCMD
   DISKADER ALL= (OP) DSKCMD

注解：

第一行：定义用户别名SYSADER 下有成员 beinan、linuxsir和beinan用户组下的成员，用户组前面必须加%号；

第二行：定义用户别名 DISKADER ，成员有lanhaitun

第三行：定义Runas用户，也就是目标用户的别名为OP，下有成员root

第四行：定义SYSCMD命令别名，成员之间用,号分隔，最后的!/usr/bin/passwd root 表示不能通过passwd 来更改root密码；

第五行：定义命令别名DSKCMD，下有成员parted和fdisk ；

第六行：表示授权SYSADER下的任何成员，在任何可能存在的主机名的主机下运行或禁止 SYDCMD和DSKCMD下定义的命令。
        更为明确遥说，beinan、linuxsir和beinan用户组下的成员能以root身份运行 chown 、chmod 、adduser、passwd，但不能更改root的密码；
        也能够以root身份运行 parted和fdisk ，
        本条规则的等价规则是；
        
    beinan,linuxsir,%beinan ALL=/bin/chown,/bin/chmod,/usr/sbin/adduser,/usr/bin/passwd [A-Za-z]*,!/usr/bin/passwd root,/sbin/parted,/sbin/fdisk

第七行：表示授权DISKADER 下的任何成员，能以OP的身份，来运行 DSKCMD ，无需密码；更为明确的说 lanhaitun 能以root身份运行 parted和fdisk 命令；其等价规则是：

    lanhaitun ALL=(root) /sbin/parted,/sbin/fdisk

       如果我想不输入用户的密码就能转换到root并运行 SYDCMD 和 DSKCMD 下的命令，那应该把把NOPASSWD:加在哪里为好？参考下面例子；

    SYSADER ALL= NOPASSWD: SYDCMD, NOPASSWD: DSKCMD

 

    至此，基本用法的介绍已经到此结束了，但是visudo的配置远远不止如此，详细的可以参考以下链接：

Sample /etc/sudoers file.

Linux用户配置sudo权限(visudo)

一篇关于su和sudo以及visudo很好的介绍文档