Linux系統修改許可權與預設許可權，它都是徵對使用者對於目錄或檔案的一些許可權控制，那麼其實真正從安全性角度上來考慮的話，是要控制使用者一定執行命令的許可權，也就是哪些使用者可以執行哪些命令，不可以執行哪些命令，因此也就有了sudo這個應用

對於sudo提權，也就是修改/etc/sudoers的配置檔案

[[email protected]~]# ls -ll /etc/sudoers

-r--r-----.1 root root 5870 Aug 19 16:53 /etc/sudoers

可以看出/etc/sudoers預設的許可權是440（也是系統比較安全的許可權設定），當然了超級管理員肯定是有許可權修改其檔案內容的，不然還不哦哦了...........。

修改sudoers檔案注意事項

1、操作時最好用echo >>追加，不過cat sed同樣也可以實現（不常用）

2、修改完成後一定記得檢查語法visudo -c

3、確保/etc/sudoers預設的許可權是440（防止許可權誤用）

4、及時驗證修改的配置是否正確

5、確保知道root密碼，以便普通使用者可以通過sudo su -命令切換

檢視 sudoers檔案

 [[email protected]~]# cat /etc/sudoers

# Sudoers allows particular users torun various commands as

## Examples are provided at the bottomof the file for collections

## of related commands, which can thenbe delegated out to particular

## users or groups.

## This file must be edited with the'visudo' command.

## Host Aliases

## Groups of machines. You may preferto use hostnames (perhaps using 

## wildcards for entire domains) or IPaddresses instead.

# Host_Alias     MAILSERVERS= smtp, smtp2

## User Aliases

## These aren't often necessary, as youcan use regular groups

## (ie, from files, LDAP, NIS, etc) inthis file - just use %groupname 

## rather than USERALIAS

# User_Alias ADMINS = jsmith, mikem

修改時儘量複製系統的格式進行相關修改，防止配置錯誤，難以改正

修改授權某使用者許可權成功後，切換到使用者下面，用sudo -l 來檢視自己擁有哪些許可權

[[email protected] ~]$ sudo -l

[sudo] password for yuw001: 

User yuw001 may run the followingcommands on this host:

    (root) /bin/ping,/bin/hostname, /usr/bin/free, /sbin/route,

/bin/netstat

使用命令時記得加上sudo 

[[email protected] ~]$ hostname  linux

hostname: you must be root to changethe host name

[[email protected] ~]$ /bin/hostname linux

hostname: you must be root to changethe host name

[[email protected] ~]$ sudo hostnamelinux 

[[email protected] ~]#          退出重新登陸後發現主機名修改成功

配置檔案一行是一個規則，前面都會用#進行註釋，用‘\’續行（換行）

sudoers配置檔案別名型別

別名型別分為以下幾類

a、Host_Alias(主機別名)

生產環境中一般不會設定主機別名，一般主機別名不太常用

root   ALL=(ALL)      ALL         第一個ALL就是主機別名的應用位置 

 b、User_Alias（使用者別名）

如果是表示使用者組那麼前面要加%

root   ALL=(ALL)       ALL        root就是使用者別名的應用位置

User_AliasADMINS = jsmith, mikem

c、Runas_Alias別名

此別名是指定“使用者身份”，即 sudo允許切換到的使用者

root   ALL=(ALL)      ALL        第二個(ALL)就是使用者別名的應用位置

Runas_Alias OP = root  

d、Cmnd_Alias(命令別名)

就是定義一個別名，它可以包含一堆命令的內容（一組相關命令的集合）

root   ALL=(ALL)      ALL        第三個ALL就是使用者別名的應用位置

Cmnd_AliasDRIVERS = /sbin/modprobe

說明

I.       使用者別名中的使用者必須是系統真實存在的，書寫時注意空格，使用者別名具有特殊意義，使用者別名必須使用大寫

II.       命令別下的成員必須使用絕對路徑，可以用‘\’換行

sudoers配置檔案授權規則

授權規則就是執行的規則，授權中的所有ALL必須大寫

## Allow root to run any commandsanywhere 

root       ALL=(ALL)      ALL

yumw    ALL=(ALL)      /usr/sbin/useradd,/usr/sbin/userdel 

###user group sa allow to run commandsanywhere

yuw  ALL=/usr/sbin*,/sbin*

sa    ALL=/usr/sbin*,/sbin*,!/sbin/fdisk  

!表示禁止執行這個命令

 [[email protected] ~]$ sudo -l

User sa may run the following commandson this host:

    (root) /usr/bin*, (root)/sbin*, (root) !/sbin/fdisk

[[email protected] ~]$ sudo fdisk

Sorry, user sa is not allowed toexecute '/sbin/fdisk' as root on linux.

如果將配置做下修改

###user group sa allow to run commandsanywhere

yuw  ALL=/usr/sbin*,/sbin*

sa    ALL= !/sbin/fdisk,/usr/sbin*,/sbin*

 [[email protected] ~]$ sudo -l

User sa may run the following commandson this host:

    (root) /usr/bin*, (root)/sbin*, (root) !/sbin/fdisk

然後進行測試

[[email protected] ~]# su - sa

[[email protected] ~]$ sudo fdisk

[sudo] password for sa: 

Usage:

 fdisk [options] <disk>   change partition table

 fdisk [options] -l <disk>list partition table(s)

 fdisk -s <partition>     give partition size(s) in blocks

Options:

 -b <size>              sector size (512, 1024, 2048 or 4096)

 -c                          switch offDOS-compatible mode

 -h                          print help

 -u <size>              give sizes in sectors instead of cylinders

 -v                          print version

 -C <number>        specify the number of cylinders

 -H <number>        specify the number of heads

 -S <number>         specify the number of sectors per track

所以經測試結果表明，sa   ALL= !/sbin/fdisk ,/usr/sbin*,/sbin*命令執行的匹配規則是從後到前的，所以後面執行sudofdisk不會提示許可權不足的現像

更多內容請關注民工哥的個人公眾號——友侃有笑

掃描下方二維碼圖片關注公眾號——友侃有笑