搜索

[25986] 2017-01-25_在Linux中设置sudo的十条sudoers实用配置

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2017-01-25_在Linux中设置sudo的十条sudoers实用配置 - -   A a r o n   K i l i 3 3 % 3 9 % 4 2 % 4 7 % 5 4 % 6 5 % 7 3 % 7 7 % 8 3 % 8 8 % 在   L i n u x   中 设 置   s u d o   的 十 条   s u d o e r s   实 用 配 置 原 创   译 者 ： G H L a n d y   L i n u x 中 国   2 0 1 7 - 0 1 - 2 5 r o o t   用 户 ， 可 以 通 过   s u d o   命 令   和 一 些 配 置 选 项 来 给 普 通 用 户 进 行 授 权 ， 从 而 让 该 普 通 用 户 可 以 运 行 某 些 命 令 已 经 上 述 的 那 些 相 当 重 要 的 系 统 级 操 作 。 本 文 导 航 - 1 、   安 置 一 个 安 全 的   P A T H   环 境 变 量 - 2 、   允 许   t t y   用 户 会 话 使 用   s u d o - 3 、   使 用   p t y   运 行   s u d o   命 令 - 4 、   创 建   s u d o   日 志 文 件 - 5 、   记 录   s u d o   命 令 的 输 入 / 输 出 - 6 、   为   s u d o   用 户 提 示 命 令 用 法 - 7 、   输 入 错 误 的   s u d o   密 码 是 显 示 自 定 义 信 息 - 8 、   增 加   s u d o   密 码 尝 试 限 制 次 数 - 9 、   在 输 错 密 码 时 让   s u d o   羞 辱 用 户 - 1 0 、   更 多 关 于   s u d o   的 配 置 编 译 自 ：   h t t p : / / w w w . t e c m i n t . c o m / s u d o e r s - c o n f i g u r a t i o n s - f o r - s e t t i n g - s u d o - i n - l i n u x /   作 者 ：   A a r o n   K i l i 译 者 ：   G H L a n d y 在   L i n u x   和 其 他 的 类   U n i x   操 作 系 统 中 ， 只 有   r o o t   用 户 可 以 运 行 所 有 的 命 令 ， 才 能 在 系 统 中 执 行 那 些 需 要 鉴 权 的 操 作 ， 比 如 安 装 、 升 级 和 移 除 软 件 包 、 创 建 用 户 和 用 户 组 [ 1 ] 、 修 改 系 统 重 要 的 配 置 文 件 等 等 。 然 而 ， 系 统 管 理 员 ， 比 如 说   r o o t   用 户 ， 可 以 通 过   s u d o   命 令 [ 2 ]   和 一 些 配 置 选 项 来 给 普 通 用 户 进 行 授 权 ， 从 而 让 该 普 通 用 户 可 以 运 行 某 些 命 令 已 经 上 述 的 那 些 相 当 重 要 的 系 统 级 操 作 。 另 外 ， 系 统 管 理 员 还 可 以 分 享   r o o t   用 户 密 码   ( 这 个 做 法 是 不 值 得 提 倡 的 ) ， 这 样 普 通 用 户 就 可 以 通 过  
命 令 来 转 化 为   r o o t   用 户 角 色 。 .   允 许 已 授 权 用 户 按 照 指 定 的 安 全 策 略 、 以   r o o t   用 户   ( 或 者 是 其 他 的 用 户 角 色 )   权 限 来 执 行 某 个 命 令 。   会 读 取 和 解 析     文 件 ， 查 找 调 用 命 令 的 用 户 及 其 权 限 。 2 .   然 后 提 示 调 用 该 命 令 的 用 户 输 入 密 码   ( 通 常 是 用 户 密 码 ， 但 也 可 能 是 目 标 用 户 的 密 码 ， 或 者 也 可 以 通 过     标 志 来 跳 过 密 码 验 证 ) 。 3 .   这 之 后 ，     会 创 建 一 个 子 进 程 ， 调 用   s e t u i d ( )   来 切 换 到 目 标 用 户 。 4 .   接 着 ， 它 会 在 上 述 子 进 程 中 执 行 参 数 给 定 的   s h e l l   或 命 令 。 以 下 列 出 十 个     文 件 配 置 ， 使 用     项 修 改   s u d o   命 令 的 行 为 。   文 件 ： s u s u d o 1 .   s u d o / e t c / s u d o e r s N O P A S S W D s u d o / e t c / s u d o e r s D e f a u l t s 1 .   $   s u d o   c a t   / e t c / s u d o e r s / e t c / s u d o e r s 1 .   # 2 .   #   T h i s   f i l e   M U S T   b e   e d i t e d   w i t h   t h e   ' v i s u d o '   c o m m a n d   a s   r o o t . 3 .   # 4 .   #   P l e a s e   c o n s i d e r   a d d i n g   l o c a l   c o n t e n t   i n   / e t c / s u d o e r s . d /   i n s t e a d   o f 5 .   #   d i r e c t l y   m o d i f y i n g   t h i s   f i l e . 6 .   # 7 .   #   S e e   t h e   m a n   p a g e   f o r   d e t a i l s   o n   h o w   t o   w r i t e   a   s u d o e r s   f i l e . 8 .   # 9 .   D e f a u l t s         e n v _ r e s e t 1 0 .   D e f a u l t s         m a i l _ b a d p a s s 1 1 .   D e f a u l t s         s e c u r e _ p a t h = " / u s r / l o c a l / s b i n : / u s r / l o c a l / b i n : / u s r / s b i n : / u s r / b i n : / s b i n : / b i n "
D e f a u l t s   项 的 类 型 在 本 文 讨 论 范 围 内 ， 我 们 下 面 的 将 以 第 一 个     作 为 基 准 来 参 考 。 p a r a m e t e r   参 数 可 以 是 标 记   ( f l a g s ) 、 整 数 值 或 者 是 列 表   ( l i s t ) 。 值 得 注 意 的 是 ， 标 记   ( f l a g )   是 指 布 尔 类 型 值 ， 可 以 使 用     操 作 符 来 进 行 取 反 ， 列 表   ( l i s t )   有 两 个 赋 值 运 算 符 ：   ( 添 加 到 列 表 )   和     ( 从 列 表 中 移 除 ) 。 1 2 .   D e f a u l t s         l o g f i l e = " / v a r / l o g / s u d o . l o g " 1 3 .   D e f a u l t s         l e c t u r e = " a l w a y s " 1 4 .   D e f a u l t s         b a d p a s s _ m e s s a g e = " P a s s w o r d   i s   w r o n g ,   p l e a s e   t r y   a g a i n " 1 5 .   D e f a u l t s         p a s s w d _ t r i e s = 5 1 6 .   D e f a u l t s         i n s u l t s 1 7 .   D e f a u l t s         l o g _ i n p u t , l o g _ o u t p u t 1 .   D e f a u l t s                                 p a r a m e t e r ,       p a r a m e t e r _ l i s t           # # #   对 任 意 主 机 登 录 的 所 有 用 户 起 作 用 2 .   D e f a u l t s @ H o s t _ L i s t             p a r a m e t e r ,       p a r a m e t e r _ l i s t           # # #   对 指 定 主 机 登 录 的 所 有 用 户 起 作 用 3 .   D e f a u l t s : U s e r _ L i s t             p a r a m e t e r ,       p a r a m e t e r _ l i s t           # # #   对 指 定 用 户 起 作 用 4 .   D e f a u l t s ! C m n d _ L i s t             p a r a m e t e r ,       p a r a m e t e r _ l i s t           # # #   对 指 定 命 令 起 作 用 5 .   D e f a u l t s > R u n a s _ L i s t           p a r a m e t e r ,       p a r a m e t e r _ l i s t           # # #   对 以 指 定 目 标 用 户 运 行 命 令 起 作 用 D e f a u l t s ! + = - = 1 .   D e f a u l t s           p a r a m e t e r 2 .   或 3 .   D e f a u l t s           p a r a m e t e r = 值 4 .   或 5 .   D e f a u l t s           p a r a m e t e r   - = 值 6 .   D e f a u l t s           p a r a m e t e r   + = 值 7 .   或
1 、   安 置 一 个 安 全 的   P A T H   环 境 变 量 该     环 境 变 量 应 用 于 每 个 通 过     执 行 的 命 令 ， 需 要 注 意 两 点 ： 1 .   当 系 统 管 理 员 不 信 任     用 户 ， 便 可 以 设 置 一 个 安 全 的     环 境 变 量 。 2 .   该 设 置 将   r o o t   的   P A T H   和 用 户 的   P A T H   分 开 ， 只 有 在     组 的 用 户 不 受 该 设 置 的 影 响 。 可 以 添 加 以 下 内 容 来 设 置 ： 2 、   允 许   t t y   用 户 会 话 使 用   s u d o 该 设 置 允 许 在 一 个 真 实 的   t t y   中 进 行 调 用   ， 但 不 允 许 通 过   c r o n   或 者   c g i - b i n   脚 本 等 方 法 来 调 用 。 添 加 以 下 内 容 来 设 置 ： 3 、   使 用   p t y   运 行   s u d o   命 令 少 数 情 况 下 ， 攻 击 者 可 以 通 过   s u d o   来 运 行 一 个 恶 意 程 序   ( 比 如 病 毒 或 者 恶 意 代 码 ) ， 这 种 恶 意 程 序 可 能 会 分 叉 出 一 个 后 台 运 行 的 进 程 ， 即 使 主 程 序 完 成 执 行 ， 它 仍 能 够 运 行 在 用 户 的 终 端 设 备 上 。 为 了 防 止 出 现 这 样 的 情 况 ， 你 可 以 通 过     参 数 来 设 置   8 .   D e f a u l t s           ! p a r a m e t e r P A T H s u d o s u d o P A T H e x e m p t _ g r o u p 1 .   D e f a u l t s   s e c u r e _ p a t h = " / u s r / l o c a l / s b i n : / u s r / l o c a l / b i n : / u s r / s b i n : / u s r / b i n : / s b i n : / b i n : / s n a p / b i n " s u d o 1 .   D e f a u l t s     r e q u i r e t t y       u s e _ p t y s u d o
  使 用 伪 终 端 来 运 行 其 他 命 令 ， 而 不 必 管   I / O   日 志 的 开 启 状 态 。 如 下 ： 4 、   创 建   s u d o   日 志 文 件 默 认 下 ，   通 过   s y s l o g ( 3 )   来 记 录 到 日 志 。 但 是 我 们 可 以 通 过     参 数 来 指 定 一 个 自 定 义 的 日 志 文 件 。 如 下 ： 使 用     和     参 数 可 以 对 应 记 录 日 志 主 机 名 和   4   位 数 年 份 到 自 定 义 日 志 文 件 。 如 下 ： 下 面 是 自 定 义   s u d o   日 志 文 件 的 例 示 ： 创 建   s u d o   日 志 文 件 1 .   D e f a u l t s     u s e _ p t y s u d o l o g f i l e 1 .   D e f a u l t s     l o g f i l e = " / v a r / l o g / s u d o . l o g " l o g _ h o s t l o g _ y e a r 1 .   D e f a u l t s     l o g _ h o s t ,   l o g _ y e a r ,   l o g f i l e = " / v a r / l o g / s u d o . l o g "
5 、   记 录   s u d o   命 令 的 输 入 / 输 出   和     参 数 可 以 让     命 令 运 行 在 伪 终 端 ， 并 可 以 对 应 地 记 录 所 有 的 用 户 输 入 和 输 出 到 屏 幕 上 。 默 认 的   I / O   日 志 目 录 为   ， 如 果 存 在 会 话 序 列 号 ， 它 将 被 存 储 到 该 目 录 。 你 可 以 通 过     参 数 来 指 定 一 个 目 录 。 这 其 中 支 持 转 义 字 符 ， 像     — —   以   3 6   为 基 数 的 单 调 递 增 序 列 ， 比 如   0 0 0 0 0 1 ， 这 里 每 两 个 数 字 都 分 别 用 来 形 成 一 个 新 目 录 。 请 看 下 边 例 示   0 0 / 0 0 / 0 1 ： 记 录   s u d o   命 令 的 输 入 / 输 出 c a t   命 令 [ 3 ]   来 查 看 该 目 录 的 其 余 部 分 。 l o g _ i n p u t l o g _ o u t p u t s u d o / v a r / l o g / s u d o - i o i o l o g _ d i r 1 .   D e f a u l t s       l o g _ i n p u t ,   l o g _ o u t p u t % { s e q } 1 .   $   c d   / v a r / l o g / s u d o - i o / 2 .   $   l s 3 .   $   c d     0 0 / 0 0 / 0 1 4 .   $   l s 5 .   $   c a t   l o g
6 、   为   s u d o   用 户 提 示 命 令 用 法 如 下 ， 使 用     参 数 可 以 在 系 统 中 为     用 户 提 示 命 令 的 用 法 ： 参 数 属 性 值 有 三 个 选 择 ：   –   一 直 提 示   –   用 户 首 次 运 行   s u d o   时 提 示   ( 未 指 定 参 数 属 性 值 时 的 默 认 值 )   –   从 不 提 示 此 外 ， 你 还 可 以 使 用     参 数 类 自 定 义 提 示 内 容 ， 在 指 定 的 文 件 中 输 入 适 当 的 提 示 内 容 即 可 ： 为   s u d o   用 户 提 示 命 令 用 法 7 、   输 入 错 误 的   s u d o   密 码 是 显 示 自 定 义 信 息 当 某 个 用 户 输 错 密 码 时 ， 会 有 一 个 对 应 的 信 息 显 示 在 屏 幕 上 。 默 认 是 “ 抱 歉 ， 请 重 新 尝 试 。 ( s o r r y ,   t r y   a g a i n ) ” ， 你 可 以 通 过     参 数 来 修 改 该 信 息 ： l e c t u r e s u d o 1 .   a l w a y s 2 .   o n c e 3 .   n e v e r 1 .   D e f a u l t s     l e c t u r e = " a l w a y s " l e c t u r e _ f i l e 1 .   D e f a u l t s     l e c t u r e _ f i l e = " / p a t h / t o / f i l e " b a d p a s s _ m e s s a g e
8 、   增 加   s u d o   密 码 尝 试 限 制 次 数   参 数 用 于 指 定 用 户 尝 试 输 入 密 码 的 次 数 。 默 认 为   3 。 增 加   s u d o   密 码 尝 试 限 制 次 数 使 用     参 数 设 置 密 码 超 时   ( 默 认 为   5   分 钟 ) ， 如 下 ： 9 、   在 输 错 密 码 时 让   s u d o   羞 辱 用 户 使 用 了     参 数 之 后 ， 一 旦 你 输 出 了 密 码 ， s u d o   便 会 在 命 令 窗 口 中 显 示 羞 辱 你 的 信 息 。 这 个 参 数 会 自 动 关 闭   1 .   D e f a u l t s     b a d p a s s _ m e s s a g e = " P a s s w o r d   i s   w r o n g ,   p l e a s e   t r y   a g a i n " p a s s w d _ t r i e s 1 .   D e f a u l t s       p a s s w d _ t r i e s = 5 p a s s w d _ t i m e o u t 1 .   D e f a u l t s       p a s s w d _ t i m e o u t = 2 i n s u l t s
  参 数 。 在 输 错 密 码 时 让   s u d o   羞 辱 用 户 1 0 、   更 多 关 于   s u d o   的 配 置 此 外 ， 欲 了 解 更 多   s u d o   命 令 的 配 置 ， 请 自 行 阅 读 ： s u   与   s u d o   的 差 异 以 及 如 何 配 置   s u d o [ 4 ] 。 文 毕 。 你 也 可 以 在 评 论 区 分 享 其 他 有 用 的   s u d o   配 置 或 者   L i n u x   技 巧 [ 5 ] 。 作 者 简 介 ： A a r o n   K i l i   是 一 名   L i n u x   和   F . O . S . S   忠 实 拥 护 者 、 高 级   L i n u x   系 统 管 理 员 、 W e b   开 发 者 ， 目 前 在   T e c M i n t   是 一 名 活 跃 的 博 主 ， 热 衷 于 计 算 机 并 有 着 强 烈 的 只 是 分 享 意 愿 。 译 者 简 介 ： G H L a n d y [ 6 ]   — —   I f   y o u   w a n t   i t ,   w o r k   f o r   i t . 欲 得 之 ， 则 为 之 奋 斗 。 v i a :   h t t p : / / w w w . t e c m i n t . c o m / s u d o e r s - c o n f i g u r a t i o n s - f o r - s e t t i n g - s u d o - i n - l i n u x / 作 者 ： A a r o n   K i l i [ 7 ]   译 者 ： G H L a n d y   校 对 ： w x y 本 文 由   L C T T [ 8 ]   原 创 编 译 ， L i n u x 中 国   荣 誉 推 出 推 荐 文 章 <   左 右 滑 动 查 看 相 关 文 章   > b a d p a s s _ m e s s a g e 1 .   D e f a u l t s     i n s u l t s
输 入 文 章   I D   或 长 按 二 维 码 直 达 [ 1 ] :   h t t p : / / w w w . t e c m i n t . c o m / a d d - u s e r s - i n - l i n u x / [ 2 ] :   h t t p : / / w w w . t e c m i n t . c o m / s u - v s - s u d o - a n d - h o w - t o - c o n f i g u r e - s u d o - i n - l i n u x / [ 3 ] :   h t t p : / / w w w . t e c m i n t . c o m / 1 3 - b a s i c - c a t - c o m m a n d - e x a m p l e s - i n - l i n u x / [ 4 ] :   h t t p : / / w w w . t e c m i n t . c o m / s u - v s - s u d o - a n d - h o w - t o - c o n f i g u r e - s u d o - i n - l i n u x / [ 5 ] :   h t t p : / / w w w . t e c m i n t . c o m / t a g / l i n u x - t r i c k s / [ 6 ] :   h t t p : / / G H L a n d y . c o m [ 7 ] :   h t t p : / / w w w . t e c m i n t . c o m / a u t h o r / a a r o n k i l i / [ 8 ] :   h t t p s : / / g i t h u b . c o m / L C T T / T r a n s l a t e P r o j e c t 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理