Linux sudo命令配置與使用
§ Sudo能夠限制使用者只在某臺主機上執行某些命令。
§ Sudo提供了豐富的日誌,詳細地記錄了每個使用者幹了什麼。它能夠將日誌傳到中心主機或者日誌伺服器。
§ Sudo使用時間戳檔案來執行類似的“檢票”系統。當用戶呼叫sudo並且輸入它的密碼時,使用者獲得了一張存活期為5分鐘的票(這個值可以在編譯的時候改變)。
§ Sudo的配置檔案是sudoers檔案,它允許系統管理員集中的管理使用者的使用許可權和使用的主機。它所存放的位置預設是在/etc/sudoers,屬性必須為0411。
一,安裝
檢測是否一經安裝了SUDO:
[[email protected]
sudo-1.6.8p12-4.1
如果沒有安裝,下載軟體包進行安裝:
對於大多數系統來說,sudo的配置都是相對比較簡單的:
0) $> cd /;cp sudo-1.6.8p12.tar.gz /
1) $> tar vxzf sudo-1.6.8p12.tar.gz
2) 如果是從低版本升級的話,升級之前請仔細閱讀UPGRADE檔案。
3) 如果你在編譯之前,已經為另外一臺不同的主機運行了’configure’,你必須用make distclean清除’config.cache’檔案。否則,’configure’將不能再執行。你也可以直接’rm config.cache’.
4) 閱讀’OS dependent notes’看是否支援你的系統。
5) $> cd sudo-8p12
6) 閱讀configure檔案,仔細看其中的’Available configure options’部分,看是否要加一些特殊的選項。這裡選項很多,不過常用的主要有這麼幾個主要的配置引數:
--with-pam 支援使用PAM,使用該選項時要求一個有效的/etc/pam.d/sudo檔案
--cache-file=FILE 將快取test的結果存到FILE檔案中。
--help 列印幫助。
--no-create 不要輸出.o檔案
--quiet, --silent 不列印’checking…’資訊
--exec-prefix=EPREFIX 設定包含sudo 和visudo命令的目錄
--bindir=DIR 將sudo命令安裝到EPREFIX/bin
--sbindir=DIR將visudo命令安裝到EPREFIX/bin
--sysconfdir=DIR 將sudoers配置檔案安裝到DIR,預設為/etc.
--mandir=DIR將man檔案安裝到DIR,預設為/man.
--with-CC=path 指定你要使用的c編譯器的路徑。
--with-skey 支援S/Key OTP(一次使用密碼)
--with-opie支援NRL OPIE OTP(一次使用密碼)
--disable-shadow 不支援shadow密碼的系統的選項開關,sudo預設是編譯並使用shadow密碼的。
--with-sudoers-mode=mode sudoers配置檔案模式,預設為0440。
--with-sudoers-uid sudoers配置檔案的所有者id,預設為0
--with-sudoers-gid sudoers配置檔案的所有者的組id,預設為0
--without-passwd 使用者認證無須密碼。
--with-logging=TYPE 日誌型別,可以選擇’syslog’、’file’或者兩種都可以。
--with-logpath=path 日誌存放的路徑和檔名,預設為/var/log/sudo.log
--with-umask 在執行root命令是用umask,預設的umask是0022
--with-passwd-tries=tries sudo寫入log日誌前提示輸入密碼的次數,預設為3次。
--with-timeout=minutes sudo提示輸入密碼之前的時間,預設為5分鐘
--with-password-timeout=minutes 密碼的有效期,預設為5分鐘,0表示密碼永遠有效。
--without-lecture 第一次執行sudo不列印lecture資訊
--disable-root-sudo root使用者不能執行sudo。
--enable-log-host 記錄主機host到日誌檔案
--disable-path-info 出錯時,不顯示sudo的路徑。
如 輸入:./configure --with-timeout=10 --without-lecture --disable-root-sudo --disable-path-info --sysconfdir=/home/config/ --bindir=/bin --sbindir=/sbin
7) make
8) make install
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
二,配置,
編輯配置檔案命令:visudo
預設配置檔案位置:/etc/sudoers
[
# sudoers file.
#
# This file MUST be edited with the 'visudo' command as root.
#
# See the sudoers man page for the details on how to write a sudoers file.
#
# Host alias specification
# User alias specification
# Cmnd alias specification
# Defaults specification
# Runas alias specification
# User privilege specification
root ALL=(ALL) ALL
# Uncomment to allow people in group wheel to run all commands
# %wheel ALL=(ALL) ALL
# Same thing without a password
# %wheel ALL=(ALL) NOPASSWD: ALL
# Samples
# %users ALL=/sbin/mount /cdrom,/sbin/umount /cdrom
# %users localhost=/sbin/shutdown -h now
[
#第一部分:使用者定義,將使用者分為FULLTIMERS、PARTTIMERS和WEBMASTERS三類。
User_Alias FULLTIMERS = millert, mikef, dowdy
User_Alias PARTTIMERS = bostley, jwfox, crawl
User_Alias WEBMASTERS = will, wendy, wim
#第二部分,將操作型別分類。
Runas_Alias OP = root, operator
Runas_Alias DB = oracle, sybase
#第三部分,將主機分類。這些都是隨便分得,目的是為了更好地管理。
Host_Alias SPARC = bigtime, eclipse, moet, anchor :\
SGI = grolsch, dandelion, black :\
ALPHA = widget, thalamus, foobar :\
HPPA = boa, nag, python
Host_Alias CUNETS = 128.138.0.0/255.255.0.0
Host_Alias CSNETS = 128.138.243.0, 128.138.204.0/24, 128.138.242.0
Host_Alias SERVERS = master, mail, www, ns
Host_Alias CDROM = orion, perseus, hercules
#第四部分,定義命令和命令地路徑。命令一定要使用絕對路徑,避免其他目錄的同名命令被執行,造成安全隱患 ,因此使用的時候也是使用絕對路徑!
Cmnd_Alias DUMPS = /usr/bin/mt, /usr/sbin/dump, /usr/sbin/rdump,\
/usr/sbin/restore, /usr/sbin/rrestore
Cmnd_Alias KILL = /usr/bin/kill
Cmnd_Alias PRINTING = /usr/sbin/lpc, /usr/bin/lprm
Cmnd_Alias SHUTDOWN = /usr/sbin/shutdown
Cmnd_Alias HALT = /usr/sbin/halt, /usr/sbin/fasthalt
Cmnd_Alias REBOOT = /usr/sbin/reboot, /usr/sbin/fastboot
Cmnd_Alias SHELLS = /usr/bin/sh, /usr/bin/csh, /usr/bin/ksh, \
/usr/local/bin/tcsh, /usr/bin/rsh, \
/usr/local/bin/zsh
Cmnd_Alias SU = /usr/bin/su
#這裡是針對不同的使用者採用不同地策略,比如預設所有的syslog直接通過auth 輸出。FULLTIMERS組不用看到lecture(第一次執行時產生的訊息);使用者millert使用sudo時不用輸入密碼;以及logfile的路徑在/var/log/sudo.log而且每一行日誌中必須包括年。
Defaults syslog=auth
Defaults:FULLTIMERS !lecture
Defaults:millert !authenticate
[email protected] log_year, logfile=/var/log/sudo.log
#root和wheel組的成員擁有任何權利。 如果想對一組使用者進行定義,可以在組名前加上%,對其進行設定.
root ALL = (ALL) ALL
%wheel ALL = (ALL) ALL
#FULLTIMERS可以執行任何命令在任何主機而不用輸入自己的密碼
FULLTIMERS ALL = NOPASSWD: ALL
#PARTTIMERS可以執行任何命令在任何主機,但是必須先驗證自己的密碼。
PARTTIMERS ALL = ALL
#jack可以執行任何命令在定義地CSNET(128.138.243.0, 128.138.242.0和128.138.204.0/24的子網)中,不過注意前兩個不需要匹配子網掩碼,而後一個必須匹配掩碼。
jack CSNETS = ALL
#lisa可以執行任何命令在定義為CUNETS(128.138.0.0)的子網中主機上。
lisa CUNETS = ALL
#使用者operator可以執行DUMPS,KILL,PRINTING,SHUTDOWN,HALT,REBOOT以及在/usr/oper/bin中的所有命令。
operator ALL = DUMPS, KILL, PRINTING, SHUTDOWN, HALT, REBOOT,\
/usr/oper/bin/
#joe可以執行su operator命令
joe ALL = /usr/bin/su operator
#pete可以為除root之外地使用者修改密碼。
pete HPPA = /usr/bin/passwd [A-z]*, !/usr/bin/passwd root
#bob可以在SPARC和SGI機器上和OP使用者組中的root和operator一樣執行如何命令。
bob SPARC = (OP) ALL : SGI = (OP) ALL
#jim可以執行任何命令在biglab網路組中。Sudo預設“+”是一個網路組地字首。
jim +biglab = ALL
#在secretaries中地使用者幫助管理印表機,並且可以執行adduser和rmuser命令。
+secretaries ALL = PRINTING, /usr/bin/adduser, /usr/bin/rmuser
#fred能夠直接執行oracle或者sybase資料庫。
fred ALL = (DB) NOPASSWD: ALL
#john可以在ALPHA機器上,su除了root之外地所有人。
john ALPHA = /usr/bin/su [!-]*, !/usr/bin/su *root*
#jen可以在除了SERVERS主機組的機器上執行任何命令。
jen ALL, !SERVERS = ALL
#jill可以在SERVERS上執行/usr/bin/中的除了su和shell命令之外的所有命令。
jill SERVERS = /usr/bin/, !SU, !SHELLS
#steve可以作為普通使用者執行在CSNETS主機上的/usr/local/op_commands/內的任何命令。
steve CSNETS = (operator) /usr/local/op_commands/
#matt可以在他的個人工作站上執行kill命令。
matt valkyrie = KILL
#WEBMASTERS使用者組中的使用者可以以www的使用者名稱執行任何命令或者可以su www。
WEBMASTERS www = (www) ALL, (root) /usr/bin/su www
#任何使用者可以mount或者umount一個cd-rom在CDROM主機上,而不用輸入密碼。
ALL CDROM = NOPASSWD: /sbin/umount /CDROM,\
/sbin/mount -o nosuid\,nodev /dev/cd0a /CDROM
三,使用
指令名稱:sudo
使用許可權:在 /etc/sudoers 中有出現的使用者
使用方式:sudo -V
sudo -h
sudo -l
sudo -v
sudo -k
sudo -s
sudo -H
sudo [ -b ] [ -p prompt ] [ -u username/#uid] -s
用法:sudo command
說明:以系統管理者的身份執行指令,也就是說,經由 sudo 所執行的指令就好像是 root 親自執行
引數:
-V 顯示版本編號
-h 會顯示版本編號及指令的使用方式說明
-l 顯示出自己(執行 sudo 的使用者)的許可權
-v 因為 sudo 在第一次執行時或是在 N 分鐘內沒有執行(N 預設為五)會問密碼,這個引數是重新做一次確認,如果超過 N 分鐘,也會問密碼
-k 將會強迫使用者在下一次執行 sudo 時問密碼(不論有沒有超過 N 分鐘)
-b 將要執行的指令放在背景執行
-p prompt 可以更改問密碼的提示語,其中 %u 會代換為使用者的帳號名稱, %h 會顯示主機名稱
-u username/#uid 不加此引數,代表要以 root 的身份執行指令,而加了此引數,可以以 username 的身份執行指令(#uid 為該 username 的使用者號碼)
-s 執行環境變數中的 SHELL 所指定的 shell ,或是 /etc/passwd 裡所指定的 shell
-H 將環境變數中的 HOME (家目錄)指定為要變更身份的使用者家目錄(如不加 -u 引數就是系統管理者 root )
command 要以系統管理者身份(或以 -u 更改為其他人)執行的指令
範例:
sudo -l 列出目前的許可權
sudo -V 列出 sudo 的版本資訊
指令名稱:sudoers(在fc5下顯示不能找到此命令,但用man可以查到其用法。)
用來顯示可以使用sudo的使用者
http://wenku.baidu.com/link?url=BUk9D52wWbCn68_CnNJV5ViSdT11yiIRfn-wpK24lKvq7xI0Ae1HKmCxXgEvkh0AfPblOiEj0SaGLXVFmMO7-FTCyh_6jeyAxEwg1RTVHyu
相關推薦
Linux sudo命令配置與使用
sudo是允許系統管理員讓普通使用者執行一些或者全部的root命令的一個工具,如halt,reboot,su等等。這樣不僅減少了root使用者的登陸和管理時間,同樣也提高了安全性。Sudo不是對shell的一個代替,它是面向每個命令的。它的特性主要有這樣幾點: §
Linux - vim安裝 配置與使用
格式 only ctx net height border term mona 方便 一 Vim 簡單介紹 曾經一直用vi,近期開始使用 vim,以下將兩者做一下比較。 vi和vim都是多模式編輯器,不同的是vim 是vi的升級版本號,它不僅兼容vi的全部指令,並且
linux sudo 命令
linux簡單的說,sudo 是一種權限管理機制,管理員可以授權於一些普通用戶去執行一些 root 執行的操作,而不需要知道 root 的密碼。嚴謹些說,sudo 允許一個已授權用戶以超級用戶或者其它用戶的角色運行一個命令。當然,能做什麽不能做什麽都是通過安全策略來指定的。sudo 支持插件架構的安全策略,並
Linux crontab 命令格式與詳細例子
linux c 編輯 行程 目前 一封信 列表 art 表示 能夠 基本格式 : * * * * * command 分 時 日 月 周 命令 第1列表示分鐘1~59 每分鐘用*或者 */1表示 第2列表示小時1~23(0表示0點) 第3列表示日期1~31 第4
Linux 基本命令 vim與程式設計師 Linux基本命令
檢視命令 ls 檢視目錄檔案 ls -la 檢視所有目錄(包括隱藏檔案) stat 檔案(目錄) 檢視檔案(目錄)的詳細資訊 lsattr 檔案 檢視檔案的隱藏屬性 . 當前目錄 .. 上一層目錄 - 前一個工作目錄
linux 用命令配置網路
linux的網路配置相關命令除了常用的ifconfig 命令,也可以用nmcli 命令進行配置。 命令:nmcli nmcli device show 顯示全部介面及屬性 nmcli device show eth0
linux防火牆埠配置與關閉
埠配置 vi /etc/sysconfig/iptables #編輯防火牆配置檔案 複製 -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT 把22埠改為要開放的埠,例如開放8080. -A INPUT
Linux:sudo命令例項講解
Linux下sudo命令例項講解 1、概念: sudo是linux下常用的允許普通使用者使用超級使用者許可權的工具,允許系統管理員讓普通使用者執行一些或者全部的root命令,如halt,reboot,su等等。這樣不僅減少了root使用者的登陸和管理
linux sudo 命令的使用
在linux系統中,由於root的許可權過大,一般情況都不使用它。只有在一些特殊情況下才採用登入root執行管理任務,一般情況下臨時使用root許可權多采用su和sudo命令。 一、su和sudo命令對比: 在普通使用者下輸入su命令後,會提示輸入root賬戶的密碼,然後就進入特
1. Linux核心的配置與裁減:
一、核心的配置和編譯流程: 1)編寫driver及其子目錄下的Kconfig檔案,將驅動的配置項寫入menuconfig配置介面; 2) 執行make menuconfig命令,進入核心配置介面,將對應的驅動程式配置進核心或者模組; 3)生成.congfig檔案,可以看到驅動在核心配置的
Linux下NFS配置與tftp配置
1. NFS配置 vi /etc/export 加入所需要共享目錄。例如: /home/liukang/workship 192.168.1.0/24(rw,sync,no_root_squash,no_subtree_check) 修改完畢後,執行 #exportfs
Linux常見命令——目錄與檔案管理
本人在某寶上花了三十塊錢裝了Linux ubantu的系統...這些天學習了Linux的常見命令之目錄與檔案,總結一下。首先需要知道的是,Linux中的目錄相當於Windows裡的資料夾,Linux中的檔案相當於Windows裡的各個檔案。並且,在Linux是嚴格區分大小寫的
Linux核心的配置與編譯
1 核心編譯過程 學習Linux核心除了必備的基礎知識、搭建Linux環境、下載核心原始碼和準備相關資源之外,第一件要做的事情應該就是編譯自己的Linux核心,然後執行編譯出來的核心。核心從配置,到編譯,再到安裝的命令非常簡單,只要按順序執行下面幾個命令就可完成: 1
[Linux] 006 命令格式與目標處理命令
文件顯示 lis lin root -- 信息 部分 一個 命令 1. 命令格式 命令 [-選項] [參數] 如,ls -la /etc 說明 個別命令使用不遵循此格式 當有多個選項時,可以寫在一起 簡化選項與完整選項 如,-a 為簡化選項,--all 為完整選項
linux基本命令操作-目錄與文件的配置和管理
linux 達內 計算機 Linux命令 用戶輸入的指令----->解釋器----->內核------->硬件-用來實現某一功能的指令或程序 -輸入命令然後執行相應的程序來實現功能,不是簡單的命令字符實現的 程序在bin下:#ls /bin/xxx-命令的執行依
Linux基礎命令(四):高階鍵盤操作與許可權控制——history、自動補全、命令列快捷鍵、歷史命令展開、id、chmod、umask、su、sudo、chown、chgrp、passwd
高階鍵盤操作 Linux終端支援各種快捷鍵操作。掌握這些快捷鍵以及命令列互動式編輯特性,基本可以告別滑鼠操作了。 clear - 清空螢幕 history - 顯示歷史列表內容 小技巧:Linux的圖形使用者介面中,非最大化的視窗是預設隱藏頂部選項卡的,可以通過保持按
sudo 命令與許可權配置講解
sudo命令用來以其他身份來執行命令,預設的身份為root。在/etc/sudoers中設定了可執行sudo指令的使用者。若其未經授權的使用者企圖使用sudo,則會發出警告的郵件給管理員。使用者使用sudo時,必須先輸入密碼,之後有5分鐘的有效期限,超過期限則必
linux常用命令:sudo命令解釋及配置免密碼使用方法
sudo命令用來以其他身份來執行命令,預設的身份為root。在/ect/sudoers設定了可執行sudo指令的使用者。未經過設定的使用者不可使用sudo未經過免密碼設定的使用者使用sudo時,必須先輸入密碼,之後有5分鐘的有效期限,超過期限則必須重新輸入密碼。設定某使用者(
linux中history命令使用與配置
history中設定顯示命令的執行時間 vi /root/.bashrc HISTTIMEFORMAT="%Y-%M-%D %H:%M:%S" export HISTTIMEFORMAT 為了使以上設定生效,執行以下命令 :wq source .bashrc his
Linux命令--多個Mysql的配置與啟動方式,mysqld mysql_safe mysql.server 區別
1.首先明確啟動mysql的方式有: 一、啟動方式 1、使用 service 啟動:service mysqld start 2、使用 mysqld 指令碼啟動:/etc/inint.d/mysqld start (不建議此方式,這是直接啟動mysqld程序,不管