sudo身份切换

Posted struggle-1216

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了sudo身份切换相关的知识,希望对你有一定的参考价值。

sudo更改身份:

  • 我们知道,使用 su 命令可以让普通用户切换到 root 身份去执行某些特权命令,但存在一些问题,比如说:仅仅为了一个特权操作就直接赋予普通用户控制系统的完整权限;
  • 当多人使用同一台主机时,如果大家都要使用 su 命令切换到 root 身份,那势必就需要 root 的密码,这就导致很多人都知道 root 的密码;
  • 考虑到使用 su 命令可能对系统安装造成的隐患,最常见的解决方法是使用 sudo 命令,此命令也可以让你切换至其他用户的身份去执行命令。
  • 相对于使用 su 命令还需要新切换用户的密码,sudo 命令的运行只需要知道自己的密码即可,甚至于,我们可以通过手动修改 sudo 的配置文件,使其无需任何密码即可运行。

su 切换身份:su -l username –c ‘command’ 切换时需要知道对方的口令

sudo

• 来自sudo包,man 5 sudoers
• sudo能够授权指定用户在指定主机上运行某些命令。如果未授权用户尝试使
用 sudo,会提示联系管理员
• sudo可以提供日志,记录每个用户使用sudo操作
• sudo为系统管理员提供配置文件,允许系统管理员集中地管理用户的使用权
限和使用的主机
• sudo使用时间戳文件来完成类似“检票”的系统,默认存活期为5分钟的“入
场券”
• 通过visudo命令编辑配置文件,具有语法检查功能
visudo -c 检查语法
visudo -f /etc/sudoers.d/test

授权规则格式:

用户 登入主机=(代表用户) 命令

 示例:

 root ALL=(ALL) ALL

 格式说明:

user: 运行命令者的身份

host: 通过哪些主机(IP地址)

(runas):以哪个用户的身份

command: 运行哪些命令

root ALL=(ALL) ALL
用户名 被管理主机的地址=(可使用的身份) 授权命令(绝对路径)
%wheel ALL=(ALL) ALL
%组名 被管理主机的地址=(可使用的身份) 授权命令(绝对路径)

模块含义
用户名或群组名 表示系统中的那个用户或群组,可以使用 sudo 这个命令。
被管理主机的地址 用户可以管理指定 IP 地址的服务器。这里如果写 ALL,则代表用户可以管理任何主机;如果写固定 IP,则代表用户可以管理指定的服务器。如果我们在这里写本机的 IP 地址,不代表只允许本机的用户使用指定命令,而是代表指定的用户可以从任何 IP 地址来管理当前服务器。
可使用的身份 就是把来源用户切换成什么身份使用,(ALL)代表可以切换成任意身份。这个字段可以省略。
授权命令 表示 root 把什么命令命令授权给用户,换句话说,可以用切换的身份执行什么命令。需要注意的是,此命令必须使用绝对路径写。默认值是 ALL,表示可以执行任何命令。

常用选项:

sudo -i -u wang 切换身份

sudo [-u user] COMMAND

-V 显示版本信息等配置信息

-u user 默认为root

-l,ll 列出用户在主机上可用的和被禁止的命令

-v 再延长密码有效期限5分钟,更新时间戳

-k 清除时间戳(1970-01-01),下次需要重新输密码

-K 与-k类似,还要删除时间戳文件

-b 在后台执行指令

-p 改变询问密码的提示符号

示例一:

让用户进行挂载光盘:

which mount 查看当前的mount在哪个路径。

/usr/bin/mount  

vim /etc/sudoers

修改里边的配置文件让wang账号以root账号的权限进行挂载光盘和卸载光盘:

技术图片

su - wang  切换至wang账号

sudo    mount  /dev/cdrom  /mnt    wang账号以root账号进行挂载光盘,注意格式和赋予的权限一致,否则无法执行

操作如下:

[root@centos7home]#su - wang

Last login: Fri Oct 25 16:04:14 CST 2019 on pts/0

[wang@centos7~]$sudo mount /dev/cdrom /mnt

mount: /dev/sr0 is write-protected, mounting read-only

[wang@centos7~]$df

Filesystem     1K-blocks     Used Available Use% Mounted on

/dev/sda2      104806400  4404968 100401432   5% /

devtmpfs          740204        0    740204   0% /dev

tmpfs             756008        0    756008   0% /dev/shm

tmpfs             756008    10472    745536   2% /run

tmpfs             756008        0    756008   0% /sys/fs/cgroup

/dev/sda3       52403200    48840  52354360   1% /data

/dev/sda1        1038336   166960    871376  17% /boot

tmpfs             151204       12    151192   1% /run/user/42

tmpfs             151204        0    151204   0% /run/user/1104

/dev/sr0        10491772 10491772         0 100% /mnt

 

[wang@centos7~]$sudo umount /mnt  配置文件中也赋予wang账号可以卸载挂载权限

示例二:

赋予wang在任何机器上有root的所有权限:

技术图片

 

wang以root身份拥有所有权限之后就可以做任何事情,如:创建用户,再次登录时不需要输入wang账号口令,原因是有五分钟的有效期。

[root@centos7home]#su - wang

[wang@centos7~]$sudo useradd zhang

[wang@centos7~]$sudo useradd xiao

 

%wheel是一个组,默认有root的权限,只要将组加入到此组内就会有root权限:

技术图片

 示例:

gpasswd  -a   wang  -g wheel

 [root@centos7home]#id wang

uid=1104(wang) gid=1104(wang) groups=1104(wang),10(wheel)

[root@centos7home]#su - wang  切换到wang账号也是可以以root身份进行创建账号

Last login: Fri Oct 25 16:09:56 CST 2019 on pts/0

[wang@centos7~]$sudo useradd test  创建test用户

[root@centos7~]#gpasswd -d wang wheel   删除wang在wheel组里

Removing user wang from group wheel

示例三:

用wang在任何机器上代表liu用户执行权限liu用户的所有权限:

技术图片

 

 1)cp /etc/fstab /data/

chmod 000 /data/fstab  将此文件的权限改为000

setfacl -m u:liu:rw /data/fstab  授予liu用户读写权限

2)su -  wang

sudo -u liu cat /data/fstab   其中wang用户可以通过liu用户进行读取文件里边的内容。

sudo -u liu vim /data/fstab  也可以修改里边的权限。

示例四:

如果将root里边/etc/passwd 的root用户的ID改为1000,普通用户的ID改为0,此时,root用户就成为普通用户,wang成为管理用户,默认配置文件中root用户可以切换到的任何用户具有所有执行权限,因此我们可以通过切换到wang用户进行执行root的权限。

技术图片

 [wang@centos7~]#su - root

Last failed login: Fri Oct 25 09:19:01 CST 2019 from 192.168.34.1 on ssh:notty

There were 17 failed login attempts since the last successful login.

[root@centos7~]$sudo -u wang cat /data/fstab

We trust you have received the usual lecture from the local System

Administrator. It usually boils down to these three things:

    #1) Respect the privacy of others.

    #2) Think before you type.

    #3) With great power comes great responsibility.

[sudo] password for root:

#

# /etc/fstab

# Created by anaconda on Thu Aug 22 15:21:16 2019

#

# Accessible filesystems, by reference, are maintained under ‘/dev/disk‘

# See man pages fstab(5), findfs(8), mount(8) and/or blkid(8) for more info

#

UUID=38dd5f68-4f30-411c-b80a-0f4a60b06c6f /                       xfs     defaults        0 0

UUID=4357cc0e-6ee7-4a8f-8064-d1a54bdbf17f /boot                   xfs     defaults        0 0

UUID=eb4bf5e6-2645-4b1c-bda8-12c5831b81c2 /data                   xfs     defaults        0 0

UUID=b8c37e0b-3628-40b6-ac44-c36ca09b448f swap                    swap    defaults        0 0

 

当wang只有普通用户的账号权限而没有root权限时,且没有root账号和密码,怎么办?

技术图片

当没有root账号且没有密码的情况下,我们只需要将wang用户授权进行切换至任何用户的操作,只需要我们切换至root下,就可以进行root所拥有的权限操作:

[wang@centos7~]$sudo -i  进行切换身份,默认就会切换至root权限

[sudo] password for wang:      只需要输入wang账号的密码就可以切换至root账号。

[root@centos7~]#

 

sudo 写入用法:

1、我们也可以切换在/etc/sudoers.d文件下建一个新文件,避免与之前的/etc/sudoers配置文件混用,以下的格式,也可以切换至root用户进行查看:

1)cd /etc/sudoers.d

vim test

wang  ALL=(ALL)  ALL

su - wang   切换至wang用户也会用sudo切换至root权限查看内容:

sudo cat /etc/fstab 

 

visudo 用法:

此命令可以检查自己配置文件哪行书写存在错误并提示你去改正:

1)先对其进行生命变量,显示颜色方便修改文件:

cd /etc/profile.d/

vim a.sh

export EDITOR=vim

2) visudo,如果我们写入错误的行,会提示我们语法有问题,然后按e我们去修改错误的地方,然后保存退出。

技术图片

 

 

 visudo -c也可以具有语法检测功能,表示之前在/etc/sudoers.d/test文件权限不对,权限过大,建议我们修改为440权限,防止普通用户查看到里边的内容。

技术图片

 技术图片

 chmod 440  /etc/sudoers.d/test  修改当前的test权限之后就不会再报有语法问题。

[root@centos7sudoers.d]#visudo -c

/etc/sudoers: parsed OK

/etc/sudoers.d/test: parsed OK

 

sudoedit 用法:

修改vim /etc/sudoers.d/test文件中的内容:

内容:wang  192.168.34.100=sudoedit  表示wang账号可以切换至root账号下都能进行操作

[root@centos7sudoers.d]#su - wang   切换至wang 账号可以查看里边的内容。

Last login: Fri Oct 25 17:29:13 CST 2019 on pts/0

[wang@centos7~]$sudoedit cat /etc/fstab

sudoedit: cat: editing files in a writable directory is not permitted

#

# /etc/fstab

# Created by anaconda on Thu Aug 22 15:21:16 2019

#

# Accessible filesystems, by reference, are maintained under ‘/dev/disk‘

# See man pages fstab(5), findfs(8), mount(8) and/or blkid(8) for more info

#

UUID=38dd5f68-4f30-411c-b80a-0f4a60b06c6f /                       xfs     defaults        0 0

UUID=4357cc0e-6ee7-4a8f-8064-d1a54bdbf17f /boot                   xfs     defaults        0 0

UUID=eb4bf5e6-2645-4b1c-bda8-12c5831b81c2 /data                   xfs     defaults        0 0

UUID=b8c37e0b-3628-40b6-ac44-c36ca09b448f swap                    swap    defaults        0 0

小结:wang  (普通用户),ALL(赋予在哪个IP上登陆)=(ALL)(代表哪个账号)  ALL(最后一个是赋予什么权限,如果是单个权限,需要我们写入命令的完整路径及命令)

 

别名用法:
别名用法比较高级,可以对多个用户、组、权限进行赋予别并,操作起来更快捷,简单。
Users和runas:
username
#uid   授权用户ID
%group_name  授权组
%#gid   授权组ID

sudo别名和示例
别名有四种类型:User_Alias, Runas_Alias, Host_Alias ,Cmnd_Alias
别名格式:[A-Z]([A-Z][0-9]_)*   必须以大写字母开头
别名定义:
Alias_Type NAME1 = item1, item2, item3 : NAME2 = item4, item5

示例1:
Wang ALL=(ALL) ALL   Wang用户对所有主机拥有root所有权限
%wheel ALL=(ALL) ALL  在%wheel组里边的用户对所有主机具有root所有权限

示例2:
wang ALL=(root) /sbin/pidof,/sbin/ifconfig  wang 用户在任何主机以root身份执行pidof和ifconfig命令
%wheel ALL=(ALL) NOPASSWD: ALL       用户组在%wheel组的在任何主机登陆时不需要输入密码的权限。

示例3
User_Alias NETADMIN= test1,tets2   将两个用户(test1,test2)进行赋予别名,命名为NETADMIN
Cmnd_Alias NETCMD = /usr/sbin/ip  将命令(IP)赋予别名为NETCMD
NETADMIN ALL=(root) NETCMD   test1,test2用户在任何主机上以root身份执行IP命令

示例4
User_Alias SYSADER=wang,liu,%admins  将用户wang,liu以及组admins 赋予SYSADER别名中
User_Alias DISKADER=tom     将用户tom 赋予DISKADER中
Host_Alias SERS=www.baidu.com,172.16.0.0/24  将网址和IP地址赋予SERS别名
Runas_Alias OP=root   将要切换的身份root赋予别名OP
Cmnd_Alias SYDCMD=/bin/chown,/bin/chmod   将执行的命令chown和chmod赋予SYDCMD别名
Cmnd_Alias DSKCMD=/sbin/parted,/sbin/fdisk  将执行的命令parted和fdisk命令赋予DSKCMD
SYSADER SERS=(OP) SYDCMD,DSKCMD  将wang liu和组%admins在baidu和172.16.0.0机器上以root身份进行执行parted和fdisk名。
DISKADER ALL=(OP) DSKCMD  将tom在任何机器以root身份执行parted和fdisk命令

示例5
User_Alias ADMINUSER =user1,user2     将user1和user2用户赋予别名到ADMINUSER
Cmnd_Alias ADMINCMD = /usr/sbin/useradd,/usr/sbin/usermod,   将useradd和usermod命令赋予ADMINCMD别名
/usr/bin/passwd [a-zA-Z]*, !/usr/bin/passwd root   将passwd秘钥修改时只能修改以字母开头,忽略大小写,但是不能修改root命令
ADMINUSER ALL=(root) NOPASSWD:ADMINCMD,PASSWD:/usr/sbin/userdel     将user1和user2在任何机器以root身份不需要登录密码执行useradd命令,删除用户命令需要输入口令
 
示例6
Defaults:wang runas_default=tom  默认wang账号默认代表是tom,如果代表jerry 需要加上-u选项。
wang ALL=(tom,jerry) ALL    默认wang用户在任何机器代表tom,jerry用户执行所有权限

示例7
wang 192.168.1.6,192.168.1.8=(root) /usr/sbin/,!/usr/sbin/useradd    wang账号在在两个IP地址上代表root用户执行/usr/bin下的所有命令

示例8
wang ALL=(ALL) /bin/cat /var/log/messages*      当前是wang账号可以在任何机器上以任何身份进行查看messages*下的所有文件
sudo cat /var/log/messages   /etc/passwd       此写法有个bug,后面追加文件还会查看到后面的文件内容
如果目前想看到message*开头的所有文件,后面跟了其他文件,而不能被查看到,怎么解决?
解决办法:
wang ALL=(ALL) /bin/cat /var/log/messages*,!/bin/cat /var/log/messages* *
[wang@centos7~]$sudo cat /var/log/messages /etc/fstab
Sorry, user wang is not allowed to execute ‘/bin/cat /var/log/messages /etc/fstab‘ as root on centos7.localdomain. 提示结果是不可以访问后面的文件

 

以上是关于sudo身份切换的主要内容,如果未能解决你的问题,请参考以下文章

Linux系统中切换用户身份su与sudo的用法与实例

linux切换到root用户,kali怎么切换root身份运行

用户切换命令:su 与 sudo

运维人员权限分配

linux su和sudo命令的区别

linux su和sudo命令的区别