Linux操作系統(tǒng)中sudoers文件解析

2015-10-07 20:20 作者：admin 瀏覽量：

　　Sudo是允許系統(tǒng)管理員讓普通用戶執(zhí)行一些或者全部的root命令的一個(gè)工具，如halt，reboot，su等等。這樣不僅減少了root用戶的登陸 和管理時(shí)間，同樣也提高了安全性。Sudo不是對(duì)shell的一個(gè)代替，它是面向每個(gè)命令的。它的特性主要有這樣幾點(diǎn)：

　　§ Sudo能夠限制用戶只在某臺(tái)主機(jī)上運(yùn)行某些命令。（網(wǎng)絡(luò)維護(hù)管理外包）

　　§ Sudo提供了豐富的日志，詳細(xì)地記錄了每個(gè)用戶干了什么。它能夠?qū)⑷罩緜鞯街行闹鳈C(jī)或者日志服務(wù)器。

　　§ Sudo使用時(shí)間戳文件來執(zhí)行類似的“檢票”系統(tǒng)。當(dāng)用戶調(diào)用sudo并且輸入它的密碼時(shí)，用戶獲得了一張存活期為5分鐘的票(這個(gè)值可以在編譯的時(shí)候改變)。

　　§ Sudo的配置文件是sudoers文件，它允許系統(tǒng)管理員集中的管理用戶的使用權(quán)限和使用的主機(jī)。它所存放的位置默認(rèn)是在/etc/sudoers，屬性必須為0411。

　　編輯配置文件命令:visudo

　　默認(rèn)配置文件位置:/etc/sudoers

　　[root@localhost ~]# cat /etc/sudoers

　　# sudoers file.

　　#

　　# This file MUST be edited with the 'visudo' command as root.

　　#

　　# See the sudoers man page for the details on how to write a sudoers file.

　　#

　　# Host alias specification

　　# User alias specification

　　# Cmnd alias specification

　　# Defaults specification

　　# Runas alias specification

　　# User privilege specification

　　root ALL=(ALL) ALL

　　# Uncomment to allow people in group wheel to run all commands

　　# %wheel ALL=(ALL) ALL

　　# Same thing without a password

　　# %wheel ALL=(ALL) NOPASSWD: ALL

　　# Samples

　　# %users ALL=/sbin/mount /cdrom,/sbin/umount /cdrom

　　# %users localhost=/sbin/shutdown -h now

　　[root@localhost ~]#

　　可以用visudo編輯sudoers配置文件，不過也可以直接通過修改sudoers文件實(shí)現(xiàn)，不過編輯之前最好看一下它的sample.sudoers文件，里面有一個(gè)相當(dāng)詳細(xì)的例子可以參考。

　　#第一部分：用戶定義，將用戶分為FULLTIMERS、PARTTIMERS和WEBMASTERS三類。（it外包）

　　User_Alias FULLTIMERS = millert, mikef, dowdy

　　User_Alias PARTTIMERS = bostley, jwfox, crawl

　　User_Alias WEBMASTERS = will, wendy, wim

　　#第二部分，將操作類型分類。

　　Runas_Alias OP = root, operator

　　Runas_Alias DB = oracle, sybase

　　#第三部分，將主機(jī)分類。這些都是隨便分得，目的是為了更好地管理。

　　Host_Alias SPARC = bigtime, eclipse, moet, anchor :\

　　SGI = grolsch, dandelion, black :\

　　ALPHA = widget, thalamus, foobar :\

　　HPPA = boa, nag, python

　　Host_Alias CUNETS = 128.138.0.0/255.255.0.0

　　Host_Alias CSNETS = 128.138.243.0, 128.138.204.0/24, 128.138.242.0

　　Host_Alias SERVERS = master, mail, www, ns

　　Host_Alias CDROM = orion, perseus, hercules

　　#第四部分，定義命令和命令地路徑。命令一定要使用絕對(duì)路徑，避免其他目錄的同名命令被執(zhí)行，造成安全隱患 ,因此使用的時(shí)候也是使用絕對(duì)路徑!

　　Cmnd_Alias DUMPS = /usr/bin/mt, /usr/sbin/dump, /usr/sbin/rdump,\

　　/usr/sbin/restore, /usr/sbin/rrestore

　　Cmnd_Alias KILL = /usr/bin/kill

　　Cmnd_Alias PRINTING = /usr/sbin/lpc, /usr/bin/lprm

　　Cmnd_Alias SHUTDOWN = /usr/sbin/shutdown

　　Cmnd_Alias HALT = /usr/sbin/halt, /usr/sbin/fasthalt

　　Cmnd_Alias REBOOT = /usr/sbin/reboot, /usr/sbin/fastboot

　　Cmnd_Alias SHELLS = /usr/bin/sh, /usr/bin/csh, /usr/bin/ksh, \

　　/usr/local/bin/tcsh, /usr/bin/rsh, \

　　/usr/local/bin/zsh

　　Cmnd_Alias SU = /usr/bin/su

　　# 這里是針對(duì)不同的用戶采用不同地策略，比如默認(rèn)所有的syslog直接通過auth 輸出。FULLTIMERS組不用看到lecture(第一次運(yùn)行時(shí)產(chǎn)生的消息);用戶millert使用sudo時(shí)不用輸入密碼;以及l(fā)ogfile的 路徑在/var/log/sudo.log而且每一行日志中必須包括年。

　　Defaults syslog=auth

　　Defaults:FULLTIMERS !lecture

　　Defaults:millert !authenticate

　　Defaults@SERVERS log_year, logfile=/var/log/sudo.log

　　#root和wheel組的成員擁有任何權(quán)利。 如果想對(duì)一組用戶進(jìn)行定義，可以在組名前加上%，對(duì)其進(jìn)行設(shè)置.

　　root ALL = (ALL) ALL

　　%wheel ALL = (ALL) ALL

　　#FULLTIMERS可以運(yùn)行任何命令在任何主機(jī)而不用輸入自己的密碼

　　FULLTIMERS ALL = NOPASSWD: ALL

　　#PARTTIMERS可以運(yùn)行任何命令在任何主機(jī)，但是必須先驗(yàn)證自己的密碼。

　　PARTTIMERS ALL = ALL

　　#jack可以運(yùn)行任何命令在定義地CSNET(128.138.243.0, 128.138.242.0和128.138.204.0/24的子網(wǎng))中，不過注意前兩個(gè)不需要匹配子網(wǎng)掩碼，而后一個(gè)必須匹配掩碼。

　　jack CSNETS = ALL

　　#lisa可以運(yùn)行任何命令在定義為CUNETS(128.138.0.0)的子網(wǎng)中主機(jī)上。（服務(wù)器設(shè)備維護(hù)）

　　lisa CUNETS = ALL

　　#用戶operator可以運(yùn)行DUMPS,KILL,PRINTING,SHUTDOWN,HALT,REBOOT以及在/usr/oper/bin中的所有命令。

　　operator ALL = DUMPS, KILL, PRINTING, SHUTDOWN, HALT, REBOOT,\

　　/usr/oper/bin/

　　#joe可以運(yùn)行su operator命令

　　joe ALL = /usr/bin/su operator

　　#pete可以為除root之外地用戶修改密碼。

　　pete HPPA = /usr/bin/passwd [A-z]*, !/usr/bin/passwd root

　　#bob可以在SPARC和SGI機(jī)器上和OP用戶組中的root和operator一樣運(yùn)行如何命令。

　　bob SPARC = (OP) ALL : SGI = (OP) ALL

　　#jim可以運(yùn)行任何命令在biglab網(wǎng)絡(luò)組中。Sudo默認(rèn)“+”是一個(gè)網(wǎng)絡(luò)組地前綴。

　　jim +biglab = ALL

　　#在secretaries中地用戶幫助管理打印機(jī)，并且可以運(yùn)行adduser和rmuser命令。

　　+secretaries ALL = PRINTING, /usr/bin/adduser, /usr/bin/rmuser

　　#fred能夠直接運(yùn)行oracle或者sybase數(shù)據(jù)庫。

　　fred ALL = (DB) NOPASSWD: ALL

　　#john可以在ALPHA機(jī)器上，su除了root之外地所有人。

　　john ALPHA = /usr/bin/su [!-]*, !/usr/bin/su *root*

　　#jen可以在除了SERVERS主機(jī)組的機(jī)器上運(yùn)行任何命令。

　　jen ALL, !SERVERS = ALL

　　#jill可以在SERVERS上運(yùn)行/usr/bin/中的除了su和shell命令之外的所有命令。

　　jill SERVERS = /usr/bin/, !SU, !SHELLS

　　#steve可以作為普通用戶運(yùn)行在CSNETS主機(jī)上的/usr/local/op_commands/內(nèi)的任何命令。

　　steve CSNETS = (operator) /usr/local/op_commands/

　　#matt可以在他的個(gè)人工作站上運(yùn)行kill命令。

　　matt valkyrie = KILL

　　#WEBMASTERS用戶組中的用戶可以以www的用戶名運(yùn)行任何命令或者可以su www。

　　WEBMASTERS www = (www) ALL, (root) /usr/bin/su www

　　#任何用戶可以mount或者umount一個(gè)cd-rom在CDROM主機(jī)上，而不用輸入密碼。

　　ALL CDROM = NOPASSWD: /sbin/umount /CDROM,\

　　/sbin/mount -o nosuid\,nodev /dev/cd0a /CDROM

　　三,使用

　　指令名稱：sudo

　　使用權(quán)限：在 /etc/sudoers 中有出現(xiàn)的使用者

　　使用方式：sudo -V

　　sudo -h

　　sudo -l

　　sudo -v

　　sudo -k

　　sudo -s

　　sudo -H

　　sudo [ -b ] [ -p prompt ] [ -u username/#uid] -s

　　用法:sudo command

　　說明：以系統(tǒng)管理者的身份執(zhí)行指令，也就是說，經(jīng)由 sudo 所執(zhí)行的指令就好像是 root 親自執(zhí)行

　　參數(shù)：

　　-V 顯示版本編號(hào)

　　-h 會(huì)顯示版本編號(hào)及指令的使用方式說明

　　-l 顯示出自己(執(zhí)行 sudo 的使用者)的權(quán)限

　　-v 因?yàn)?sudo 在第一次執(zhí)行時(shí)或是在 N 分鐘內(nèi)沒有執(zhí)行(N 預(yù)設(shè)為五)會(huì)問密碼，這個(gè)參數(shù)是重新做一次確認(rèn)，如果超過 N 分鐘，也會(huì)問密碼

　　-k 將會(huì)強(qiáng)迫使用者在下一次執(zhí)行 sudo 時(shí)問密碼(不論有沒有超過 N 分鐘)

　　-b 將要執(zhí)行的指令放在背景執(zhí)行

　　-p prompt 可以更改問密碼的提示語，其中 %u 會(huì)代換為使用者的帳號(hào)名稱， %h 會(huì)顯示主機(jī)名稱

　　-u username/#uid 不加此參數(shù)，代表要以 root 的身份執(zhí)行指令，而加了此參數(shù)，可以以 username 的身份執(zhí)行指令(#uid 為該 username 的使用者號(hào)碼)

　　-s 執(zhí)行環(huán)境變數(shù)中的 SHELL 所指定的 shell ，或是 /etc/passwd 里所指定的 shell

　　-H 將環(huán)境變數(shù)中的 HOME (家目錄)指定為要變更身份的使用者家目錄(如不加 -u 參數(shù)就是系統(tǒng)管理者 root )

　　command 要以系統(tǒng)管理者身份(或以 -u 更改為其他人)執(zhí)行的指令

　　范例：

　　sudo -l 列出目前的權(quán)限

　　sudo -V 列出 sudo 的版本資訊

　　指令名稱:sudoers(在fc5下顯示不能找到此命令，但用man可以查到其用法。)

　　用來顯示可以使用sudo的用戶

　　艾銻無限是中國(guó)領(lǐng)先IT外包服務(wù)商，專業(yè)為企業(yè)提供IT運(yùn)維外包、電腦維護(hù)、網(wǎng)絡(luò)維護(hù)、網(wǎng)絡(luò)布線、辦公設(shè)備維護(hù)、服務(wù)器維護(hù)、數(shù)據(jù)備份恢復(fù)、門禁監(jiān)控、網(wǎng)站建設(shè)等多項(xiàng)IT服務(wù)外包,服務(wù)熱線：400-650-7820 聯(lián)系電話：010-62684652 咨詢QQ1548853602 地址：北京市海淀區(qū)北京科技會(huì)展2號(hào)樓16D,用心服務(wù)每一天，為企業(yè)的發(fā)展提升更高的效率，創(chuàng)造更大的價(jià)值。

　　更多的IT外包信息盡在艾銻無限http://www.maosdadas.net