centos系统中的sudoer详解

目录

• 1. sudoer简介
• 2.sudo配置简介
• 3./etc/sudoer配置文件详解
  • 3.1 default部分
  • 3.2 主机别名
  • 3.3 用户别名
  • 3.4 目标别名
  • 3.5 命名别名
  • 3.6 安全策略（用户规则）
• 4. 其他

1. sudoer简介

centos系统中的用户可以分为两类：

• 超级用户-- root
• 普通用户--其他

su（switch user）命令是通过切换用户身份，来执行某种操作的命令。

su和sudo的区别如下：

• su命令主要作用是让你可以在已经登录的会话中（不登出当前用户的情况下）切换到另外一个用户。
• sudo命令容许特定用户以root用户或者其他用户的身份执行特定命令。

2.sudo配置简介

sudo命令作用是：容许当前用户以特定用户去执行特定命令

配置文件为：/etc/sudoers,修改该文件使用visudo命令，该命令使用VI编辑器编辑sudoer文件，并且会自动检查语法错误。

配置格式如下：

user1 ALL=(ALL) ALL #我们来说一下这一行的配置的意思 

#user1 表示该用户user1可以使用sudo命令.

第一个ALL指的是网络中的主机（可以是主机名也可以是ip地址），它指明user1用户可以在此主机上执行后面命令；

第二个括号里的ALL是指目标用户，也就是以谁的身份去执行命令。

最后一个ALL是指命令路径。 

user1 localhost=(root) /bin/kill 

#表示user1用户可以在本地以root的身份去执行kill命令 

#注意： 命令必须是完整的路径

3./etc/sudoer配置文件详解

[root@ansible ~]# cat /etc/sudoers 
## Sudoers allows particular users to run various commands as 
## the root user, without needing the root password. 
##该文件允许特定用户像root用户一样使用各种各样的命令，而不需要root用户的密码 
## 
## Examples are provided at the bottom of the file for collections 
## of related commands, which can then be delegated out to particular 
## users or groups. 
## 在文件的底部提供了很多相关命令的示例以供选择，这些示例都可以被特定用户或 
## 
## 用户组所使用 ## This file must be edited with the 'visudo' command. 
## 该文件必须使用"visudo"命令编辑 
## Host Aliases #主机别名 
## Groups of machines. You may prefer to use hostnames (perhap using 
## wildcards for entire domains) or IP addresses instead. 
## 对于一组服务器，你可能会更喜欢使用主机名（可能是全域名的通配符） 
## 或IP地址代替，这时可以配置主机别名 
# Host_Alias FILESERVERS = fs1, fs2 
# Host_Alias MAILSERVERS = smtp, smtp2 ## User Aliases #用户别名
## These aren't often necessary, as you can use regular groups 
## (ie, from files, LDAP, NIS, etc) in this file - just use %groupname 
## rather than USERALIAS 
## 这并不很常用，因为你可以通过使用组来代替一组用户的别名 
# User_Alias ADMINS = jsmith, mikem 
## Command Aliases 
## These are groups of related commands... 
## 指定一系列相互关联的命令（当然可以是一个）的别名，通过赋予该别名sudo权限， 
## 可以通过sudo调用所有别名包含的命令，下面是一些示例 
## Networking 
#网络操作相关命令别名 
Cmnd_Alias NETWORKING = /sbin/route, /sbin/ifconfig, /bin/ping, /sbin/dhclient, /usr/bin/net, /sbin/iptables, /usr/bin/rfcomm, /usr/bin/wvdial, /sbin/iwconfig, /sbin/mii-tool 
## Installation and management of software 
#软件安装管理相关命令别名 
Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/up2date, /usr/bin/yum 
## Services #服务相关命令别名 
Cmnd_Alias SERVICES = /sbin/service, /sbin/chkconfig 
## Updating the locate database #本地数据库升级命令别名 
Cmnd_Alias LOCATE = /usr/sbin/updatedb 
## Storage #磁盘操作相关命令别名 
Cmnd_Alias STORAGE = /sbin/fdisk, /sbin/sfdisk, /sbin/parted, /sbin/partprobe, /bin/mount, /bin/umount ## Delegating permissions 
#代理权限相关命令别名 
Cmnd_Alias DELEGATING = /usr/sbin/visudo, /bin/chown, /bin/chmod, /bin/chgrp 
## Processes 
#进程相关命令别名 
Cmnd_Alias PROCESSES = /bin/nice, /bin/kill, /usr/bin/kill, /usr/bin/killall 
## Drivers #驱动命令别名 Cmnd_Alias DRIVERS = /sbin/modprobe 
#环境变量的相关配置 
# Defaults specification 
# 
# Disable "ssh hostname sudo <cmd>", because it will show the password in clear. 
# You have to run "ssh -t hostname sudo <cmd>". 
# Defaults requiretty Defaults env_reset Defaults env_keep = "COLORS DISPLAY HOSTNAME HISTSIZE INPUTRC KDEDIR \ LS_COLORS MAIL PS1 PS2 QTDIR USERNAME \ LANG LC_ADDRESS LC_CTYPE LC_COLLATE LC_IDENTIFICATION \ LC_MEASUREMENT LC_MESSAGES LC_MONETARY LC_NAME LC_NUMERIC \ LC_PAPER LC_TELEPHONE LC_TIME LC_ALL LANGUAGE LINGUAS \ _XKB_CHARSET XAUTHORITY" 
## Next comes the main part: which users can run what software on 
## which machines (the sudoers file can be shared between multiple 
## systems). 
## 下面是规则配置：什么用户在哪台服务器上可以执行哪些命令（sudoers文件可以在多个系统上共享） 
## Syntax: 
##语法 
## user MACHINE=COMMANDS 
## 用户 登录的主机=（可以变换的身份） 可以执行的命令 
## 
## The COMMANDS section may have other options added to it. 
## 命令部分可以附带一些其它的选项 
## 
## Allow root to run any commands anywhere 
## 允许root用户执行任意路径下的任意命令 root ALL=(ALL) ALL 
## Allows members of the 'sys' group to run networking, software, 
## service management apps and more. 
# %sys ALL = NETWORKING, SOFTWARE, SERVICES, STORAGE, DELEGATING, PROCESSES, LOCATE, DRIVERS 
## 允许sys中户组中的用户使用NETWORKING等所有别名中配置的命令 
## Allows people in group wheel to run all commands 
# %wheel ALL=(ALL) ALL ## 允许wheel用户组中的用户执行所有命令 
## Same thing without a password 
## 允许wheel用户组中的用户在不输入该用户的密码的情况下使用所有命令 
# %wheel ALL=(ALL) NOPASSWD: ALL 
## Allows members of the users group to mount and unmount the 
## cdrom as root 
## 允许users用户组中的用户像root用户一样使用mount、unmount、chrom命令 
# %users ALL=/sbin/mount /mnt/cdrom, /sbin/umount /mnt/cdrom 
## Allows members of the users group to shutdown this system 
# %users localhost=/sbin/shutdown -h now 
## 允许users用户组中的用户像root用户一样使用shutdown命令

如上所述：

sudoers文件主要有三部分组成:

• sudoers的默认配置（defaults），主要设置sudo的一些缺省值
• alias(别名)，主要有Host_Alias|Runas_Alias|Cmnd_Alias.
• 安全策略（规则定义）-重点

各部分详解如下：

3.1 default部分

Defaults !visiblepw 
# 
# Preserving HOME has security implications since many programs 
# use it when searching for configuration files. Note that HOME 
# is already set when the the env_reset option is enabled, so 
# this option is only effective for configurations where either 
# env_reset is disabled or HOME is present in the env_keep list. 
# 
Defaults always_set_home 
Defaults match_group_by_gid 
Defaults env_reset 
Defaults env_keep = "COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS"    Defaults env_keep += "MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE" Defaults env_keep += "LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES" 
Defaults env_keep += "LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE" 
Defaults env_keep += "LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY"

3.2 主机别名

主机别名主要是用来创建主机分组，授予该组主机可以访问哪些命令或命令别名，它的基本思想是，该文件由组织中的所有主机共同维护，然后拷贝到每台主机中的/etc中，其中有些主机，例如各种服务器，可以配置一个组来赋予用户访问特定命令的权限。比如可以启停类似HTTPD、DNS以及网络服务；可以挂载系统等等。

## Host Aliases 
## Groups of machines. You may prefer to use hostnames (perhaps using 
## wildcards for entire domains) or IP addresses instead.
# Host_Alias FILESERVERS = fs1, fs2 
Host_Alias HOST1 = host1, host2 
Host_Alias HOST2 = host3,host4 
Host_Alias HOST1 = host1,host2 
HOST2=host3,host4 
##其中第7行等价于第5、6行的写法。

3.3 用户别名

用户别名允许root将多个用户整理成一组中，并按组来分配目标用户的权限。这部分是可选的，定义的时候是User_Alias group1=user1,user2使用的时候是%group1。我们也可以直接使用/etc/groups中定义的组而不用自己设置的别名。

## User Aliases ## These aren't often necessary, as you can use regular groups 
## (ie, from files, LDAP, NIS, etc) in this file - just use %groupname 
## rather than USERALIAS 
User_Alias group1 = user1, user2

3.4 目标别名

Runas_Alias ex1=item_list

3.5 命名别名

就是将一部分命令进行归类，方便系统管理员有效分配权限。

## Command Aliases 
## These are groups of related commands... 
## Networking 
# Cmnd_Alias NETWORKING = /sbin/route, /sbin/ifconfig, /bin/ping, /sbin/dhclient, /usr/bin/net, /sbin/iptables, /usr/bin/rfcomm, /usr/bin/wvdial, /sbin/iwconfig, /sbin/mii-tool 
## Installation and management of software 
# Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/up2date, /usr/bin/yum 
## Services 
# Cmnd_Alias SERVICES = /sbin/service, /sbin/chkconfig, /usr/bin/systemctl start, /usr/bin/systemctl stop, /usr/bin/systemctl reload, /usr/bin/systemctl restart, /usr/bin/systemctl status, /usr/bin/systemctl enable, /usr/bin/systemctl disable 
## Updating the locate database 
# Cmnd_Alias LOCATE = /usr/bin/updatedb 
#Command Aliases 
## These are groups of related commands... 
## Command Aliases 
## These are groups of related commands... SOFTWARE = /bin/rpm, /usr/bin/up2date, /usr/bin/yum 
# Cmnd_Alias STORAGE = /sbin/fdisk, /sbin/sfdisk, /sbin/parted, /sbin/partprobe, /bin/mount, /bin/umount 
## Delegating permissions 
# Cmnd_Alias DELEGATING = /usr/sbin/visudo, /bin/chown, /bin/chmod, /bin/chgrp 
## Processes 
# Cmnd_Alias PROCESSES = /bin/nice, /bin/kill, /usr/bin/kill, /usr/bin/killall 
## Drivers 
# Cmnd_Alias DRIVERS = /sbin/modprobe Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/up2date, /usr/bin/yum

3.6 安全策略（用户规则）

语法规则：

User_List Host_List=(Runas_List1:Runas_List2) SELinux_Spec Tag_Spec Cmnd_List 
#User_List(必填项)：指的是该规则是针对哪些用户的 
#Host_List(必填项)：指的是该规则针对来自哪些主机的用户 
#Runas_List1(可选项)：表示可以用sudo -u来切换的用户 
#Runas_List2(可选项)：表示可以用sudo -g来切换的用户组 
#SELinux_Spec(可选项)：表示SELinux相关的选项，可选值为ROLE=role或TYPE=type。本人对SELinux不太熟，以后再补充这里吧 
#Tag_Spec(可选项)：用于控制后面Cmnd_List的一些选项，可选值有下面这些 'NOPASSWD:' | 'PASSWD:' | 'NOEXEC:' | 'EXEC:' | 'SETENV:' | 'NOSETENV:' | 'LOG_INPUT:' | 'NOLOG_INPUT:' | 'LOG_OUTPUT:' | 'NOLOG_OUTPUT:'|'MAIL:'|'NOMAIL:'| 
###注意#### 
##如果Runas_Alias和Runas_Alias都没填的话，默认是以root用户执行

案例1：

user01 localhost=(root) NOPASSWD:/bin/more

#user1用户可以在本机上无密码以root身份执行/usr/local/bin/python

案例2：

user01 localhost=(root) NOPASSWD:/bin/more PASSWD:/bin/less 
#user1用户可以在本机上无密码以root身份执行bin/more,有密码以root身份执行less命令

案例3

slview localhost=(root) NOPASSWD:/usr/bin/passwd,!/usr/bin/passwd root #slview用户可以执行passwd程序，但是不能修改root密码,在命令前面加上叹号表示不能执行该程序。


[root@ansible ~]# su - slview
[slview@ansible ~]$ sudo passwd root
Sorry, user slview is not allowed to execute '/bin/passwd root' as root on ansible.
[slview@ansible ~]$ sudo passwd yjtest
Changing password for user yjtest.
New password:
BAD PASSWORD: The password fails the dictionary check - it is too simplistic/systematic
Retype new password:
passwd: all authentication tokens updated successfully.

尝试修改root的用户密码，失败，然后尝试修改yjtest的密码，成功。

4. 其他

通配符只可以用在主机名、文件路径、命令行的参数列表中。下面是可用的通配符：

*：匹配任意数量的字符

?：匹配一个任意字符

[...]：匹配在范围内的一个字符

[!...]：匹配不在范围内的一个字符

\x：用于转义特殊字符

在使用通配符时有以下的注意点：

1.使用[:alpha:]等通配符时，要转义冒号':'，如：[:alpha:]

2.当通配符用于文件路径时，不能跨'/'匹配，如：/usr/bin/*能匹配/usr/bin/who但不能匹配/usr/bin/X11/xterm

3.如果指令的参数列表是""时，匹配不包含任何参数的指令。

4.ALL这个关键字表示匹配所有情况。