Linux 用户管理知识与应用实践
本章将深入讲解用户管理的知识，并带领小伙伴们实践 Linux 运维中有关用户管理的工作。
十三、visudo：编辑 sudoers 文件的工具
1、visudo 命令介绍
visudo 命令是专门用来编辑 /etc/sudoers 这个文件的，同时它还提供了语法检查等功能。其中，/etc/sudoers 文件是 sudo 命令的配置文件。
visudo [option]visudo [选项]
表 14-16 visudo 命令的参数选项及说明
2、visudo 命令范例
范例 14-22：执行 visudo 对普通用户 oldgirl 授权的例子。
执行如下 visudo 命令，即可打开 sudo 的配置文件进行编辑：
[root@shy ~]# visudo # 相当于直接执行vim /etc/sudoers编辑，但使用命令方式更安全，推荐此种方式。## Sudoers allows particular users to run various commands as## the root user, without needing the root password.#### Examples are provided at the bottom of the file for collections## of related commands, which can then be delegated out to particular## users or groups.#### This file must be edited with the 'visudo' command.## Host Aliases## Groups of machines. You may prefer to use hostnames (perhaps using## wildcards for entire domains) or IP addresses instead.# Host_Alias FILESERVERS = fs1, fs2# Host_Alias MAILSERVERS = smtp, smtp2## User Aliases## These aren't often necessary, as you can use regular groups## (ie, from files, LDAP, NIS, etc) in this file - just use %groupname## rather than USERALIAS# User_Alias ADMINS = jsmith, mikem... ... ...## Allow root to run any commands anywhereroot ALL=(ALL) ALLoldgirl ALL=(ALL) ALL # 添加次行，授权oldgirl使其可以以root身份添加和删除用户权限... ... ..."/etc/sudoers.tmp" 120L, 4328C
表 14-17 sudo 提权配置说明
| | |
|---|
| | |
| | usr/sbin/useradd, /usr/sbin/userdel |
如果是针对用户组，则对应的授权命令如下：
%用户组 机器=（授权使用哪个角色的权限） /usr/sbin/useradd
通过 sudo 命令进行系统的授权管理的目的是，既能让运维人员正常工作，又不会威胁到系统的安全，还可以审计用户使用 sudo 的提权操作命令，默认的用户是无法获得 root 权限的。
为了管理方便，工作中可以为 oldgirl 授权 ALL 权限，oldgirl 既可管理整个系统，平时也可以使用 oldgirl 用户处理工作，而不使用 root 用户。
十四、以另一个用户身份执行命令：sudo
1、sudo 命令介绍
sudo 命令可以让普通用户在执行指定的命令或程序时，拥有超级用户（也可以是其他用户）的权限，并且可以有针对性地（精细）将不同命令或程序授予指定的普通用户，同时普通用户不需要知道 root 密码就可以得到授权，这个授权可以使用 visudo 配置管理。
表 14-18 sudo 命令的参数选项及说明
2、sudo 命令范例
范例 14-24：查看用户被 visudo 授权后拥有的权限。
[oldgirl@shy ~]$ ls /root # oldgirl 用户是无法直接访问/root 家目录的ls: 无法打开目录/root: 权限不够[oldgirl@shy ~]$ sudo ls /root # 如果授权配置中含有 NOPASSWD，则执行时将不提示密码，否则会要求输入当前用户的密码。我们信任您已经从系统管理员那里了解了日常注意事项。总结起来无外乎这三点： #1) 尊重别人的隐私。 #2) 输入前要先考虑(后果和风险)。 #3) 权力越大，责任越大。[sudo] oldgirl 的密码：\ data file1.txt oldboy2 oldboy.txt test02.txt test.shalex.txt data1 hello.txt oldboy.log server test1.txt test.txtanaconda-ks.cfg dir1 log oldboy.loh test test2.txt user.txtcron.sh dir2 oldboy oldboy_new.txt test01.txt test3.txt xx
说明：
- 通过 sudo 授权管理后，所有用户执行授权的特殊权限格式为 “sudo 命令”。
- 如果需要切换到 root 执行相关操作，则可以通过 “sudo su -” 命令，注意，此命令提示的密码为当前用户的密码，而不是 root 的密码。
- 执行 “sudo -l” 命令可以查看当前用户被授予的 sudo 权限集合。
生产环境中通常会禁止 root 远程登录，不过，系统会为每个运维人员建立一个普通账号，然后根据运维人员的需求，通过 sudo 控制登录系统的权限，事实证明这是一个不错的权限管理方式。
3、sudo 拓展知识
a. 时间戳文件位置
[root@shy ~]# ll /var/run/sudo/总用量 0drwx------ 2 root root 60 7月 8 16:52 ts
待用户执行 sudo 并且输入密码后，用户会获得一张默认存活期为 5 分钟的 “入场券”（默认值可以在编译的时候改变）。但超时以后， 用户就必须重新输入密码了。 可以使用 sudo 的 -k 或 -K 参数清空 sudo 用户的时间戳，这样还会提示输入密码，但是如果配置授权对应的用户时加入了 NOPASSWD 选项， 那么执行 sudo 命令时就永久不会提示输入密码了。
b. sudo 的配置文件 /etc/sudoers
[root@shy ~]# ll /etc/sudoers # 查看 sudo 的配置文件 /etc/sudoers 的内容。-r--r----- 1 root root 4356 7月 8 16:36 /etc/sudoers
建议使用 visudo 编辑这个文件，因为该命令带有语法检查，否则一旦出错了，普通用户就会无法使用 sudo 了。直接在命令行执行 visudo 即可自动打开 /etc/sudoers 文件。
如果是通过 vi 来编辑 /etc/sudoers，则在保存时要使用 “wq！” 强制保存，否则会提示只读不能保存的错误，而且最后还要用 visudo -c 做语法检查，这样做比较麻烦，无特殊要求时建议都使用 visudo 编辑 sudo 的配置文件。
10个月宝宝每天需要喝多少奶粉？
