22.权限管理之 su 与 sudo

引入

在公司工作普通用户权限不够, 需要使用管理员权限的时候通常有两种解决方案

1.su 切换用户身份

• 特点: 使用普通用户身份登入, 然后使用 su 命令切换到 root 用户

• 优点: 简单

• 缺点: 需要知道 root 密码, 并且获得了所有root权限,不安全

2.sudo 提权

• 特点: 使用普通用户身份登入, sudo 命令获得 root 用户的部分管理权限(管理员设置好的)

• 优点: 1.不需要切换到root用户下,

          ​ 2.不需要知道root密码, 输入的是自己的密码, 提升了安全性

  ​         3.权限控住更为精确, 可以控制普通用户之获取 root 用户部分权限

• 缺点: 设置相对比较复杂

一.su 切换用户

1.su 命令和选项

• su [用户名] : 切换用户身份,不切换环境,切到root直接su,需要密码,root切到其他不需要
• su - [用户名] : 切换用户并切换用户环境
• su [用户名] -c [命令] ：临时使用某个用户身份执行命令

2.BashShell 配置文件介绍

• 全局配置文件

             /etc/profile               #类文件, 设定环境变量,登入前运行的脚本和命令

             /etc/profile.d/*.sh     #可执行的脚本文件

             /etc/bashrc              #类文件, 设定本地变量,定义命令别名

• 个人配置文件

              ~/.bash_profile #类文件, 设定环境变量,登入前运行的脚本和命令

              ~/.bashrc #类文件, 设定本地变量,定义命令别名

• 如果全局变量与个人个人变量冲突, 以个人配置为准
• 验证配置加载 : 使用 echo 在每个文件添加一行输出, 注意放在文件的第一行

2.登入式 shell

• 需要输入用户名和密码才能进入的 shell, 日常接触最多的一种

• 执行登入式 shell : 身份与环境都切换

  命令 : su - [用户名]

• 加载配置文件的应用顺序

            1. 👉 /etc/profile

            2. 👉 /etc/profile.d/*.sh

            3. 👉 ~/.bash_profile

            4. 👉 ~/.bashrc

            5. 👉 /etc/bashrc

3.非登入式 shell

• 不需要输入用户名和密码就能进入 shell, 比如运行bash会开启一个新的会话窗口
• 执行非登入式 shell : 只切换用户身份, 不切换环境

命令 : su [用户名]

• 加载配置文件的应用顺序

               1. 👉 ~/.bashrc

               2. 👉 /etc/bashrc

               3. 👉 /etc/profile.d/*.sh

4.补充知识点

• Shell 的使用方式有两种

                  1.交互式 shell : 等待用户输入执行的命令(终端操作,需要不断地提醒)

                  2.非交互式 Shell : 执行 Shell 脚本, 脚本执行结束后 Shell 自动退出

• 用户切换补充

                 1.从 root 切到普通用户无需密码, 反过来需要

                 2.临时切换身份执行命令 : su - [用户名] -c "[命令]"

二.sudo 提权

1.使用 root 用户修改配置文件两种方式

• visudo (推荐)

              [root@shawn ~]# visudo

              [root@shawn ~]# visudo -c    #检查配置是否正确

               

               /etc/sudoers：解析正确

• vim /etc/sudoers

               不会检查配置是否正确

                  会高亮显示语法

               使用sudo操作会被记录到管理员邮箱"/var/spool/mail/root"

2.sudo 命令和选项

• sudo –i –u [用户名] 切换身份为某某用户
• sudo -u [用户名] 使用指定的用户执行命令(一般是在root用户下)
• sudo -l 列出用户在主机上可用的和被禁止的命令
• sudo -v 再延长密码有效期限5分钟,更新时间戳(密码5分钟有效)
• sudo -k 清除时间戳,下次需要重新输密码

3.授权规则格式

• 格式

  user host=(runas) command

    [用户] [主机IP或主机名]=[转成的用户身份] [命令]

示例: root ALL=(ALL) ALL

• 格式说明

  • user : 运行者的身份
       1.👉 username : 直接写用户名

       2.👉 #UID : 使用用户的uid

       2.👉 %group_name : 使用一个组

       3.👉 %#gid : 使用组ID

       4.👉 User_Alise : 使用用户别名,跟组一样在里面加入多个用户

   

   
  • host : 允许哪些用户使用哪些主机
         1.👉 ip地址 : 比如 192.168.12.179

         2.👉 hostname : 直接使用主机名

         3.👉 network : 网段

         4.👉 Host_Alias : 主机别名

   

   
  • (runas): 使用哪个用户身份运行,一般是(root)
           1.👉 username : 用户名

           2.👉 #uid : uid

           3.👉 %group_name : 组名

           4.👉 %#gid : gid

           4.👉 Runaas_Alias : 别名

   

   
  • command: 运行哪些命令
           1.👉 command name : 命令的绝对路径

           2.👉 directory : 一个目录,代表目录下的命令都可用

           3.👉 sudoedit : 编辑"sudoers"文件,授权用户可以自定义权限

           4.👉 Cmnd_Alias : 命令别名,里面都得是绝对路径,用逗号分隔

   

   

   
  • 补充
          1.👉 命令必须使用绝对路径: 比如"/usr/bin/vim /etc/shadow"

          2.👉 别名必须大写: 比如"USER=song1,song2","IP=192.x.x.x,192.x.x.x"

          3.👉 执行命令不需要密码设置: "NOPASSWD:command","NOPASSWD:Cmnd_Alias"

4.示例

   

• 用户"song1"可以使用命令别名"MND"里的命令
• 命令别名"MND"包含了"cat /etc/shadow"命令

          ⛅设置命令别名,里面包含命令,多个命令用逗号隔开

                    [root@shawn ~]# visudo

                      Cmnd_Alias CMND = /bin/cat /etc/shadow

         

         ⛅设置用户"song1"可使用,并无需输入密码

                     song1 ALL=(root) NOPASSWD:MND

         

 

         ⛅验证 [root@shawn ~]# su - song1

                                上一次登录：六 10月 31 16:34:20 CST 2020pts/0 上

                      [song1@shawn ~]$ cat /etc/shadow               #未提权

                                 cat: /etc/shadow: 权限不够

                     [song1@shawn ~]$ sudo  cat /etc/shadow      #提权

                                 root:$6$TRKWGiXlX063z/6A$fTzd6HMfLMtdfXFm0::0:99999:7:::

                                 bin:*:17110:0:99999:7:::

                                 daemon:*:17110:0:99999:7:::

                                 adm:*:17110:0:99999:7:::

                                      ..............

                                      ........

                                      ...

• 用户别名"ADMINS"里的用户可以使用"ifconfig"修改网卡配置
• 用户别名"ADMINS"包含了用户"song1"和"song2"

 

 

⛅设置用户别名,里面包含"song1","song2"

              User_Alias ADMINS = song1, song2

 

⛅设置别名可使用网卡配置命令

             ADMINS ALL=(root) /usr/sbin/ifconifg

 

⛅验证"song1"

             [root@shawn ~]# su - song1

             [song1@shawn ~]$ ifconfig ens32:0 2.2.2.2      #未提权

                    SIOCSIFADDR: 不允许的操作

                    SIOCSIFFLAGS: 不允许的操作

           

             [song1@shawn ~]$ sudo ifconfig ens32:0 2.2.2.2 #提权

             [sudo] song1 的密码： #输入密码

             [song1@shawn ~]$ ifconfig

                     ens32:0:flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500

                     inet 2.2.2.2 netmask 255.0.0.0 broadcast 2.255.255.255

                     ether 00:0c:29:3e:45:6a txqueuelen 1000 (Ethernet)

  ⛅验证"song2"

            [root@shawn song1]# su - song2

                       上一次登录：五 10月 30 19:32:23 CST 2020pts/1 上

            [song2@shawn ~]$ ifconfig ens32:2 4.4.4.4           #未提权

                      SIOCSIFADDR: 不允许的操作

                      SIOCSIFFLAGS: 不允许的操作

            [song2@shawn ~]$ sudo ifconfig ens32:2 4.4.4.4    #提权

   

                  我们信任您已经从系统管理员那里了解了日常注意事项。

                  总结起来无外乎这三点：

                       #1) 尊重别人的隐私。

                       #2) 输入前要先考虑(后果和风险)。

                       #3) 权力越大，责任越大。

              [sudo] song2 的密码：   #输入密码

             [song2@shawn ~]$ ifconfig

                    ens32:2: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500

                    inet 4.4.4.4 netmask 255.0.0.0 broadcast 4.255.255.255

                     ether 00:0c:29:3e:45:6a txqueuelen 1000 (Ethernet)

• 用户"song3"可以使用"root"的所有权限,但唯独不能"userdel"删除用户

 

⛅设置"song3"的配置

        song3      ALL=(ALL)       NOPASSWD:ALL,!/usr/sbin/userdel

 

 

⛅验证

        [root@shawn ~]# su - song3

                 上一次登录：六 10月 31 17:09:41 CST 2020pts/0 上

 

 

        [song3@shawn ~]$ useradd aaaa #未提权

                 -bash: /usr/sbin/useradd: 权限不够

           

        [song3@shawn ~]$ sudo useradd aaaa #提权

        [song3@shawn ~]$ id aaaa

                 \uid=1004(aaaa) gid=1005(aaaa) 组=1005(aaaa)

         [song3@shawn ~]$ sudo userdel aaaa #无法删除用户

                  对不起，用户 song3 无权以 root 的身份在 shawn 上执行 /sbin/userdel aaaa。