Как sudo предназначен для использования?

Я уже пытался настроить sudo, но мне не повезло с этим. Чем он отличается от su -l -c "x"? Кажется, что через файл конфигурации можно сделать так, чтобы пользователь мог иметь доступ только к определенным командам и многим другим. Я всегда считал sudoспособ объединить команду в команду как другого пользователя или группу. Поскольку такие дистрибутивы, как Ubuntu и Mint, упрощают задачу, предоставляя основному пользователю простой доступ к root с помощью пароля, я не совсем уверен, для чего он предназначен.

Как добавить пользователя в файл sudo, предоставив ему права на запуск только определенных команд в корне? Я также не хочу открывать дыры в безопасности.

Для основной операции - запуска команд с правами root - наиболее заметная разница между sudo и su в том, что sudo требует пароль вызывающего пользователя (т.е. ваш пароль), тогда как su требует пароль целевого пользователя (то есть пароль root). Последствия для безопасности подробно обсуждались в предыдущем вопросе: Какой самый безопасный способ получения привилегий root: sudo, su или login? ,

У Sudo есть дополнительные функции помимо su. В частности, когда у вас есть пароль пользователя, вы можете запустить любую команду от имени этого пользователя. С другой стороны, sudo можно настроить так, чтобы вызывающий его пользователь мог запускать только определенные команды, как некоторые другие пользователи. Это возможно, потому что sudo не требует какой-либо аутентификации (кроме, возможно, подтверждения того, что вы являетесь, введя свой пароль - но это немного отличается от аутентификации вашего пользователя для задачи).

Вы можете изменить конфигурацию sudo, выполнив visudoкоманду от имени пользователя root (никогда не редактируйте конфигурацию напрямую). Убедитесь , что переменная окружения EDITORили VISUALустановлен в вашем любимом редакторе или вы можете получить незнакомого редактора. Страница sudoersman немного краткая, но содержит примеры. Чтобы разрешить пользователю bobзапускаться /bin/foo(с любым количеством аргументов) и /bin/bar --safe(но не с любым другим аргументом) как root, используйте следующие строки:

bob ALL = (root) /bin/foo
bob ALL = (root) /bin/bar --safe

Самым большим отличием является то, что sudoвам не нужен пароль root для запуска команды от имени root, как это было бы для вас su. Вам нужен пароль root, чтобы добавить кого-то в sudoersфайл, но после этого он может запустить все или некоторые (если вы его ограничили) как root, не требуя дополнительного пароля.

Другое отличие состоит в том, что, как вы заметили, sudoгораздо более точный контроль над тем, какие команды можно запускать.

Для получения подробной информации о формате sudoersфайла запустите man sudoers. Там вы найдете примеры, позволяющие запускать только определенные команды от имени пользователя root. Базовая структура каждой строки:

user_list host_list = cmd_list

cmd_list может включать сведения о том, на какого пользователя разрешено переключаться реальному пользователю. Например, вы можете позволить веб-мастеру переключиться на wwwroot, чтобы перезапустить apache, но не на root. Он также может включать другие параметры, например, требуется ли пароль пользователя перед переключением (это значение по умолчанию).

Пример строки может быть:

joe  ALL=(ALL) ALL

что означает: пусть joe запускает любую команду на любом хосте как любой пользователь. Более жесткая линия может быть:

joe  ALL=(operator) /usr/local/ops/

что означает: пусть joe выполнит любую команду в каталоге / usr / local / ops от имени пользователя «operator».

В конце справочной страницы sudoers приведено множество примеров.

Вы должны редактировать /etc/sudoersс помощью команды visudo. Это проверяет, является ли файл легальным, и помогает предотвратить его случайный взлом.

В дополнение к другим ответам, sudo предоставляет средства ведения журналов, чтобы вы могли отслеживать, какие команды были запущены и кем. Это не в целях безопасности, поскольку злоумышленник, получивший доступ sudo, может стереть журнал. Тем не менее, очень полезно выяснить, что именно вы или какой-либо другой админ смотрели в тупик в 2 часа ночи на прошлой неделе.