马哥 17_03 _sudo详解有大用

星期五, 2019-01-04 07:55 — adminshiping1

linux ks =http://172.16.0.1/exam.cfg

(ks与等于后没有空格) (本文中等于号=与前面的内容一般情况下不应该有空格)

50台服务器

网络:定义网络属性,tom

用户:用户管理,jerry

linux: root

Tom: root

用户:管理员和普通用户

su (switch user)

sudo (切换用户来执行某种命令的操作)

sudo COMMAND

一个普通用户能够以另外一个用户的身份执行某条命令,但是并不需要切换到那个用户的身份去执行,只不过是执行命令的那一刻它拥有了对应用户的权限 (这些命令也仅仅是我定义给他的命令,其它的命令都不能执行)

有点类似于suid 在执行命令的时候,用户用的不是自身的身份,而是执行文件的属主的身份

sudo 能够定义某个用户能够以另外某一个用户(未必是管理员)的身份通过某主机执行某命令的一种机制

useradd,

jerry,

useradd admin

要求输密码: jerry密码

可以以任何人的身份来执行,但是一般来讲,是以管理员的身份来执行管理类的命令的

谁可以以另一个人的身份来执行什么样的命令,保存在一个叫 /etc/sudoers 配置文件当中

为了避免其它用户能够查看 /etc/sudoers ,权限很关键 440 (只读的)

(只有root用户和root组中的用户才能查看它的内容)

visudo

如果不是语法自身的某些关键字定义的某些功能的话,它的每一行通常表示定义了一个sudo条目

一个sudo条目定义了哪个用户能够以另外哪个用户的身份在哪些主机上执行什么命令,

所以它的语法格式非常简单 root ALL =(ALL) ALL

who which_hosts =(runas) command

谁哪些主机上 =(谁的身份,以哪个用户的身份) 什么命令

可以混合着使用,比如 who使用别名,其它三个不使用别名

哪些主机上并不是哪些主机上自身运行,而是哪些主机上能够远程连接到当前主机上运行

who:User_Alias

whick_hosts:Host_Alias

runas:Runas_Alias

command:Cmnd_Alias

Defaults 关键字能够定义默认属性

假设 3 个用户能够以root身份执行 useradd,usermod,userdel,passwd 这些命令

假设 3, root,useradd,usermod,userdel,passwd

别名:类似定义了组,只不过sudo中称之为别名

别名的定义,遵循 EBNF语法结构(EBNF是一种描述性语言,可以定义一个宏,它的取值是什么样子的取值)

别名的名字必须要全部使用大写,只能使用大写英文字母的组合

定义别名的时候可以使用感叹号 ! 取反的

别名只能先定义,后面才能使用

用户别名

User_Alias USERADMIN = (等于号的后边可以是用户名,也可以是组(前面要加百分号%))

用户的用户名

组名,使用%引导

还可以包含其它已经定义的用户别名(别名是可以嵌套的)

Host_Alias

主机名

网络地址

其它主机别名(别名是可以嵌套的)

Runas_Alias:

用户的用户名

组名,使用%引导

还可以包含其它的Runas别名(别名是可以嵌套的)

Cmnd_Alias:

命令路径(防止出错,用绝对路径,)

目录(表示这个目录下面的所有命令都包含进来)

其它事先定义过的命令别名

hadoop 用户能够以root身份执行 useradd 和 usermod命令

hadoop,root, useradd usermod

每一次以管理员的身份执行命令都让我们输密码,很麻烦,所以sudo默认情况下,在用户第一次通过认证之后会将密码认证信息记录下来,并让他的有效期为5分钟 (第一次输密码之后,5分钟之内,不用再次输密码了)

sudo 命令

-l:列出当前用户所有可以使用的所有sudo类命令

-k: 让认证信息失效 (sudo命令的时候直接加上-k也是可以的,表示此时就算我们已经认证了,也不会让系统将密码记录下来的)

管理员也可以定义用户执行 sudo 时,压根从来都不需要输密码的加上标签,与命令冒号空格隔开就可以了

标签最著名一个就是 NOPASSWD (最常用的就是 NOPASSWD 和 PASSWD,其它的标签很少用到,马哥就不说了 )

who which_hosts =(runas) TAG: command

[root@localhost ~]# ll /etc/sudoers

-r--r----- 1 root root 3381 2013-06-07 /etc/sudoers

[root@localhost ~]# vim /etc/sudoers

vim 编辑这个文件的时候是与编辑 crontab文件是一样的,它无法检查这个文件的语法的正确性

(万一写了一个错误的命令,其它用户执行这个命令的时候,可能因为语法错误,无法进行,严重者,有可能导致系统崩溃的)

因 sudo 有个专门的命令叫 visudo,专门用来编辑 /etc/sudoers 文件的一个命令,这个命令本身可以检查 /etc/sudoers 文件的语法的正确性

[root@localhost ~]# man visudo

(可以使用 -f 指定另外一个文件)

[root@localhost ~]# visudo

## Sudoers allows particular users to run various commands as

## the root user, without needing the root password.

## Examples are provided at the bottom of the file for collections

## of related commands, which can then be delegated out to particular

## users or groups.

## This file must be edited with the 'visudo' command.

## Host Aliases

## Groups of machines. You may prefer to use hostnames (perhap using

## wildcards for entire domains) or IP addresses instead.

# Host_Alias FILESERVERS = fs1, fs2

# Host_Alias MAILSERVERS = smtp, smtp2

## User Aliases

## These aren't often necessary, as you can use regular groups

## (ie, from files, LDAP, NIS, etc) in this file - just use %groupname

## rather than USERALIAS

# User_Alias ADMINS = jsmith, mikem

## Command Aliases

## These are groups of related commands...

## Networking

#Cmnd_Alias NETWORKING = /sbin/route, /sbin/ifconfig, /bin/ping, /sbin/dhclient, /usr/bin/net, /sbin/iptables, /usr/bin/rfcomm, /usr/bin/wvdial, /sbin/iwconfig, /sbin/mii-tool

## Installation and management of software

#Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/up2date, /usr/bin/yum

## Services

#Cmnd_Alias SERVICES = /sbin/service, /sbin/chkconfig

## Updating the locate database

#Cmnd_Alias LOCATE = /usr/bin/updatedb

## Storage

#Cmnd_Alias STORAGE = /sbin/fdisk, /sbin/sfdisk, /sbin/parted, /sbin/partprobe, /bin/mount, /bin/umount

## Delegating permissions

#Cmnd_Alias DELEGATING = /usr/sbin/visudo, /bin/chown, /bin/chmod, /bin/chgrp

## Processes

#Cmnd_Alias PROCESSES = /bin/nice, /bin/kill, /usr/bin/kill, /usr/bin/killall

## Drivers

#Cmnd_Alias DRIVERS = /sbin/modprobe

# Defaults specification

# Disable "ssh hostname sudo <cmd>", because it will show the password in clear.

# You have to run "ssh -t hostname sudo <cmd>".

Defaults requiretty

# Refuse to run if unable to disable echo on the tty. This setting should also be

# changed in order to be able to use sudo without a tty. See requiretty above.

Defaults !visiblepw

Defaults env_reset

Defaults env_keep = "COLORS DISPLAY HOSTNAME HISTSIZE INPUTRC KDEDIR \

LS_COLORS MAIL PS1 PS2 QTDIR USERNAME \

LANG LC_ADDRESS LC_CTYPE LC_COLLATE LC_IDENTIFICATION \

LC_MEASUREMENT LC_MESSAGES LC_MONETARY LC_NAME LC_NUMERIC \

LC_PAPER LC_TELEPHONE LC_TIME LC_ALL LANGUAGE LINGUAS \

_XKB_CHARSET XAUTHORITY"

## Next comes the main part: which users can run what software on

## which machines (the sudoers file can be shared between multiple

## systems).

## Syntax:

## user MACHINE =COMMANDS

## The COMMANDS section may have other options added to it.

## Allow root to run any commands anywhere

root ALL =(ALL) ALL

## Allows members of the 'sys' group to run networking, software,

## service management apps and more.

# %sys ALL = NETWORKING, SOFTWARE, SERVICES, STORAGE, DELEGATING, PROCESSES, LOCATE, DRIVERS

## Allows people in group wheel to run all commands

# %wheel ALL =(ALL) ALL

## Same thing without a password

# %wheel ALL =(ALL) NOPASSWD: ALL

## Allows members of the users group to mount and unmount the

## cdrom as root

# %users ALL =/sbin/mount /mnt/cdrom, /sbin/umount /mnt/cdrom

## Allows members of the users group to shutdown this system

# %users localhost =/sbin/shutdown -h now

[root@localhost ~]# man sudoers (这个对查sudo非常有用有大用)

hadoop 用户能够以root身份执行 useradd 和 usermod命令

hadoop,root, useradd usermod

[root@localhost ~]# useradd hadoop

useradd：用户 hadoop 已存在

[root@localhost ~]# su - haddop

su: 用户 haddop 不存在

[root@localhost ~]# su - hadoop

搜索表单

用户登录

You are here

马哥 17_03 _sudo详解 有大用

友情链接