Linux系统中的超级权限的控制Word下载.docx
《Linux系统中的超级权限的控制Word下载.docx》由会员分享,可在线阅读,更多相关《Linux系统中的超级权限的控制Word下载.docx(21页珍藏版)》请在冰豆网上搜索。
![Linux系统中的超级权限的控制Word下载.docx](https://file1.bdocx.com/fileroot1/2022-11/23/09352070-af64-43a0-b477-dfa0b802a1ae/09352070-af64-43a0-b477-dfa0b802a1ae1.gif)
3、/etc/sudoers配置文件中别名规则
4、/etc/sudoers中的授权规则:
5、/etc/sudoers中其它的未尽事项;
6、sudo的用法;
五、后记;
六、关于本文;
七、致谢;
八、参考文档;
九、相关文档;
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++
正文
在Linux操作系统中,root的权限是最高的,也被称为超级权限的拥有者。
普通用户无法执行的操作,root用户都能完成,所以也被称之为超级管理用户。
在系统中,每个文件、目录和进程,都归属于某一个用户,没有用户许可其它普通用户是无法操作的,但对root除外。
root用户的特权性还表现在root可以超越任何用户和用户组来对文件或目录进行读取、修改或删除(在系统正常的许可范围内);
对可执行程序的执行、终止;
对硬件设备的添加、创建和移除等;
也可以对文件和目录进行属主和权限进行修改,以适合系统管理的需要(因为root是系统中权限最高的特权用户);
在所有Linux系统中,系统都是通过UID来区分用户权限级别的,而UID为0的用户被系统约定为是具有超级权限。
超级用户具有在系统约定的最高权限满园内操作,所以说超级用户可以完成系统管理的所有工具;
我们可以通过/etc/passwd来查得UID为0的用户是root,而且只有root对应的UID为0,从这一点来看,root用户在系统中是无可替代的至高地位和无限制权限。
root用户在系统中就是超级用户;
当系统默认安装时,系统用户和UID是一对一的对关系,也就是说一个UID对应一个用户。
我们知道用户身份是通过UID来确认的,我们在《用户(user)和用户组(group)配置文件详解》中的UID的解说中有谈到“UID是确认用户权限的标识,用户登录系统所处的角色是通过UID来实现的,而非用户名;
把几个用户共用一个UID是危险的,比如我们把普通用户的UID改为0,和root共用一个UID,这事实上就造成了系统管理权限的混乱。
如果我们想用root权限,可以通过su或sudo来实现;
切不可随意让一个用户和root分享同一个UID;
”
在系统中,能不能让UID和用户是一对多的关系?
是可以的,比如我们可以把一个UID为0这个值分配给几个用户共同使用,这就是UID和用户的一对多的关系。
但这样做的确有点危险;
相同UID的用户具有相同的身份和权限。
比如我们在系统中把beinan这个普通用户的UID改为0后,事实上这个普通用户就具有了超级权限,他的能力和权限和root用户一样;
用户beinan所有的操作都将被标识为root的操作,因为beinan的UID为0,而UID为0的用户是root,是不是有点扰口?
也可以理解为UID为0的用户就是root,root用户的UID就是0;
UID和用户的一对一的对应关系,只是要求管理员进行系统管理时,所要坚守的准则,因为系统安全还是第一位的。
所以我们还是把超级权限保留给root这唯一的用户是最好的选择;
如果我们不把UID的0值的分享给其它用户使用,只有root用户是唯一拥有UID=0的话,root用户就是唯一的超级权限用户;
与超级用户相对的就是普通用户和虚拟(也被称为伪装用户),普通和伪装用户都是受限用户;
但为了完成特定的任务,普通用户和伪装用户也是必须的;
Linux是一个多用户、多任务的操作系统,多用户主要体现在用户的角色的多样性,不同的用户所分配的权限也不同;
这也是Linux系统比Windows系统更为安全的本质所在,即使是现在最新版本的Windows2003,也无法抹去其单用户系统的烙印;
超级权限用户(UID为0的用户)到底在系统管理中起什么作用呢?
主要表现在以下两点;
但值得注意的是这种操作是在系统最高许可范围内的操作;
有些操作就是具有超级权限的root也无法完成;
比如/proc目录,/proc是用来反应系统运行的实时状态信息的,因此即便是root也无能为力;
它的权限如下
[root@localhost~]#pwd
/root
[root@localhost~]#cd/
[root@localhost/]#ls-ld/proc/
dr-xr-xr-x134rootroot02005-10-27/proc/
就是这个目录,只能是读和执行权限,但绝对没有写权限的;
就是我们把/proc目录的写权限打开给root,root用户也是不能进行写操作;
[root@localhost~]#chmod755/proc
[root@localhost/]#ls-ld/proc/
drwxr-xr-x134rootroot02005-10-27/proc/
[root@localhost/]#cd/proc/
[root@localhostproc]#mkdirtestdir
mkdir:
无法创建目录‘testdir’:
没有那个文件或目录
硬件管理、文件系统理解、用户管理以及涉及到的系统全局配置等等......如果您执行某个命令或工具时,提示您无权限,大多是需要超级权限来完成;
比如用adduser来添加用户,这个只能用通过超级权限的用户来完成;
由于超级权限在系统管理中的不可缺少的重要作用,为了完成系统管理任务,我们必须用到超级权限;
在一般情况下,为了系统安全,对于一般常规级别的应用,不需要root用户来操作完成,root用户只是被用来管理和维护系统之用;
比如系统日志的查看、清理,用户的添加和删除......
在不涉及系统管理的工作的环境下,普通用户足可以完成,比如编写一个文件,听听音乐;
用gimp处理一个图片等......基于普通应用程序的调用,大多普通用户就可以完成;
当我们以普通权限的用户登录系统时,有些系统配置及系统管理必须通过超级权限用户完成,比如对系统日志的管理,添加和删除用户。
而如何才能不直接以root登录,却能从普通用户切换到root用户下才能进行操作系统管理需要的工作,这就涉及到超级权限管理的问题;
获取超级权限的过程,就是切换普通用户身份到超级用户身份的过程;
这个过程主要是通过su和sudo来解决;
1、su的适用条件和威力
su命令就是切换用户的工具,怎么理解呢?
比如我们以普通用户beinan登录的,但要添加用户任务,执行useradd,beinan用户没有这个权限,而这个权限恰恰由root所拥有。
解决办法无法有两个,一是退出beinan用户,重新以root用户登录,但这种办法并不是最好的;
二是我们没有必要退出beinan用户,可以用su来切换到root下进行添加用户的工作,等任务完成后再退出root。
我们可以看到当然通过su切换是一种比较好的办法;
通过su可以在用户之间切换,如果超级权限用户root向普通或虚拟用户切换不需要密码,什么是权力?
这就是!
而普通用户切换到其它任何用户都需要密码验证;
2、su的用法:
su[OPTION选项参数][用户]
-,-l,--login登录并改变到所切换的用户环境;
-c,--commmand=COMMAND执行一个命令,然后退出所切换到的用户环境;
至于更详细的,请参看mansu;
3、su的范例:
su在不加任何参数,默认为切换到root用户,但没有转到root用户家目录下,也就是说这时虽然是切换为root用户了,但并没有改变root登录环境;
用户默认的登录环境,可以在/etc/passwd中查得到,包括家目录,SHELL定义等;
[beinan@localhost~]$su
Password:
[root@localhostbeinan]#pwd
/home/beinan
su加参数-,表示默认切换到root用户,并且改变到root用户的环境;
[beinan@localhost~]$pwd
[beinan@localhost~]$su-
su参数-用户名
[beinan@localhost~]$su-root注:
这个和su-是一样的功能;
[beinan@localhost~]$su-linuxsir注:
这是切换到linuxsir用户
注:
在这里输入密码;
[linuxsir@localhost~]$pwd注:
查看用户当前所处的位置;
/home/linuxsir
[linuxsir@localhost~]$id注:
查看用户的UID和GID信息,主要是看是否切换过来了;
uid=505(linuxsir)gid=502(linuxsir)groups=0(root),500(beinan),502(linuxsir)
[linuxsir@localhost~]$
[beinan@localhost~]$su--cls注:
这是su的参数组合,表示切换到root用户,并且改变到root环境,然后列出root家目录的文件,然后退出root用户;
在这里输入root的密码;
anaconda-ks.cfgDesktopinstall.loginstall.log.syslogtestgrouptestgroupbeinantestgrouproot
[beinan@localhost~]$pwd注:
查看当前用户所处的位置;
[beinan@localhost~]$id注:
查看当前用户信息;
uid=500(beinan)gid=500(beinan)groups=500(beinan)
4、su的优缺点;
su的确为管理带来方便,通过切换到root下,能完成所有系统管理工具,只要把root的密码交给任何一个普通用户,他都能切换到root来完成所有的系统管理工作;
但通过su切换到root后,也有不安全因素;
比如系统有10个用户,而且都参与管理。
如果这10个用户都涉及到超级权限的运用,做为管理员如果想让其它用户通过su来切换到超级权限的root,必须把root权限密码都告诉这10个用户;
如果这10个用户都有root权限,通过root权限可以做任何事,这在一定程度上就对系统的安全造成了威协;
想想Windows吧,简直就是恶梦;
“没有不安全的系统,只有不安全的人”,我们绝对不能保证这10个用户都能按正常操作流程来管理系统,其中任何一人对系统操作的重大失误,都可能导致系统崩溃或数据损失;
所以su工具在多人参与的系统管理中,并不是最好的选择,su只适用于一两个人参与管理的系统,毕竟su并不能让普通用户受限的使用;
超级用户root密码应该掌握在少数用户手中,这绝对是真理!
所以集权而治的存在还是有一定道理的;
由于su对切换到超级权限用户root后,权限的无限制性,所以su并不能担任多个管理员所管理的系统。
如果用su来切换到超级用户来管理系统,也不能明确哪些工作是由哪个管理员进行的操作。
特别是对于服务器的管理有多人参与管理时,最好是针对每个管理员的技术特长和管理范围,并且有针对性的下放给权限,并且约定其使用哪些工具来完成与其相关的工作,这时我们就有必要用到sudo。
通过sudo,我们能把某些超级权限有针对性的下放,并且不需要普通用户知道root密码,所以sudo相对于权限无限制性的su来说,还是比较安全的,所以sudo也能被称为受限制的su;
另外sudo是需要授权许可的,所以也被称为授权许可的su;
sudo执行命令的流程是当前用户切换到root(或其它指定切换到的用户),然后以root(或其它指定的切换到的用户)身份执行命令,执行完成后,直接退回到当前用户;
而这些的前提是要通过sudo的配置文件/etc/sudoers来进行授权;
sudo的配置文件是/etc/sudoers,我们可以用他的专用编辑工具visodu,此工具的好处是在添加规则不太准确时,保存退出时会提示给我们错误信息;
配置好后,可以用切换到您授权的用户下,通过sudo-l来查看哪些命令是可以执行或禁止的;
/etc/sudoers文件中每行算一个规则,前面带有#号可以当作是说明的内容,并不执行;
如果规则很长,一行列不下时,可以用\号来续行,这样看来一个规则也可以拥有多个行;
/etc/sudoers的规则可分为两类;
一类是别名定义,另一类是授权规则;
别名定义并不是必须的,但授权规则是必须的;
别名规则定义格式如下:
Alias_TypeNAME=item1,item2,...
或
Alias_TypeNAME=item1,item2,item3:
NAME=item4,item5
别名类型(Alias_Type):
别名类型包括如下四种
Host_Alias定义主机别名;
User_Alias用户别名,别名成员可以是用户,用户组(前面要加%号)
Runas_Alias用来定义runas别名,这个别名指定的是“目的用户”,即sudo允许切换至的用户;
Cmnd_Alias定义命令别名;
NAME就是别名了,NMAE的命名是包含大写字母、下划线以及数字,但必须以一个大写字母开头,比如SYNADM、SYN_ADM或SYNAD0是合法的,sYNAMDA或1SYNAD是不合法的;
item按中文翻译是项目,在这里我们可以译成成员,如果一个别名下有多个成员,成员与成员之间,通过半角,号分隔;
成员在必须是有效并事实存在的。
什么是有效的呢?
比如主机名,可以通过w查看用户的主机名(或ip地址),如果您只是本地机操作,只通过hostname命令就能查看;
用户名当然是在系统中存在的,在/etc/paswd中必须存在;
对于定义命令别名,成员也必须在系统中事实存在的文件名(需要绝对路径);
item成员受别名类型Host_Alias、User_Alias、Runas_Alias、Cmnd_Alias制约,定义什么类型的别名,就要有什么类型的成员相配。
我们用Host_Alias定义主机别名时,成员必须是与主机相关相关联,比如是主机名(包括远程登录的主机名)、ip地址(单个或整段)、掩码等;
当用户登录时,可以通过w命令来查看登录用户主机信息;
用User_Alias和Runas_Alias定义时,必须要用系统用户做为成员;
用Cmnd_Alias定义执行命令的别名时,必须是系统存在的文件,文件名可以用通配符表示,配置Cmnd_Alias时命令需要绝对路径;
其中Runas_Alias和User_Alias有点相似,但与User_Alias绝对不是同一个概念,Runas_Alias定义的是某个系统用户可以sudo切换身份到Runas_Alias下的成员;
我们在授权规则中以实例进行解说;
别名规则是每行算一个规则,如果一个别名规则一行容不下时,可以通过\来续行;
同一类型别名的定义,一次也可以定义几个别名,他们中间用:
号分隔,
Host_AliasHT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24注:
定义主机别名HT01,通过=号列出成员
Host_AliasHT02=st09,st10注:
主机别名HT02,有两个成员;
Host_AliasHT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24:
HT02=st09,st10注:
上面的两条对主机的定义,可以通过一条来实现,别名之间用:
号分割;
注:
我们通过Host_Alias定义主机别名时,项目可以是主机名、可以是单个ip(整段ip地址也可以),也可以是网络掩码;
如果是主机名,必须是多台机器的网络中,而且这些机器得能通过主机名相互通信访问才有效。
那什么才算是通过主机名相互通信或访问呢?
比如ping主机名,或通过远程访问主机名来访问。
在我们局域网中,如果让计算机通过主机名访问通信,必须设置/etc/hosts,/etc/resolv.conf,还要有DNS做解析,否则相互之间无法通过主机名访问;
在设置主机别名时,如果项目是中某个项目是主机名的话,可以通过hostname命令来查看本地主机的主机名,通过w命令查来看登录主机是来源,通过来源来确认其它客户机的主机名或ip地址;
对于主机别名的定义,看上去有点复杂,其实是很简单。
如果您不明白Host_Alias是怎么回事,也可以不用设置主机别名,在定义授权规则时通过ALL来匹配所有可能出现的主机情况。
如果您把主机方面的知识弄的更明白,的确需要多多学习。
User_AliasSYSAD=beinan,linuxsir,bnnnb,lanhaitun注:
定义用户别名,下有四个成员;
要在系统中确实在存在的;
User_AliasNETAD=beinan,bnnb注:
定义用户别名NETAD,我想让这个别名下的用户来管理网络,所以取了NETAD的别名;
User_AliasWEBMASTER=linuxsir注:
定义用户别名WEBMASTER,我想用这个别名下的用户来管理网站;
User_AliasSYSAD=beinan,linuxsir,bnnnb,lanhaitun:
NETAD=beinan,bnnb:
WEBMASTER=linuxsir注:
上面三行的别名定义,可以通过这一行来实现,请看前面的说明,是不是符合?
Cmnd_AliasUSERMAG=/usr/sbin/adduser,/usr/sbin/userdel,/usr/bin/passwd[A-Za-z]*,/bin/chown,/bin/chmod
注意:
命令别名下的成员必须是文件或目录的绝对路径;
Cmnd_AliasDISKMAG=/sbin/fdisk,/sbin/parted
Cmnd_AliasNETMAG=/sbin/ifconfig,/etc/init.d/network
Cmnd_AliasKILL=/usr/bin/kill
Cmnd_AliasPWMAG=/usr/sbin/reboot,/usr/sbin/halt
Cmnd_AliasSHELLS=/usr/bin/sh,/usr/bin/csh,/usr/bin/ksh,\
/usr/local/bin/tcsh,/usr/bin/rsh,\
/usr/local/bin/zsh
这行定义命令别名有点长,可以通过\号断行;
Cmnd_AliasSU=/usr/bin/su,/bin,/sbin,/usr/sbin,/usr/bin
在上面的例子中,有KILL和PWMAG的命令别名定义,我们可以合并为一行来写,也就是等价行;
Cmnd_AliasKILL=/usr/bin/kill:
PWMAG=/usr/sbin/reboot,/usr/sbin/halt注:
这一行就代表了KILL和PWMAG命令别名,把KILL和PWMAG的别名定义合并在一行写也是可以的;
Runas_AliasOP=root,operator
Runas_AliasDBADM=mysql:
OP=root,operator注:
这行是上面两行的等价行;
至于怎么理解Runas_Alias,我们必须得通过授权规则的实例来理解;
授权规则是分配权限的执行规则,我们前面所讲到的定义别名主要是为了更方便的授权引用别名;
如果系统中只有几个用户,其实下放权限比较有限的话,可以不用定义别名,而是针对系统用户直接直接授权,所以在授权规则中别名并不是必须的;
授权规则并不是无章可寻,我们只说基础一点的,比较简单的写法,如果您想详细了解授权规则写法的,请参看mansudoers
授权用户主机=命令动作
这三个要素缺一不可,但在动作之前也可以指定切换到特定用户下,在这里指定切换的用户要用()号括起来,如果不需要密码直接运行命令的,应该加NOPASSWD:
参数,但这些可以省略;
举例说明;
实例一:
beinanALL=/bin/chown,/bin/chmod
如果我们在/etc/sudoers中添加这一行,表示beinan可以在任何可能出现的主机名的系统中,可以切换到root用户下执行/bin/chown和/bin/chmod命令,通过sudo-l来查看beinan在这台主机上允许和禁止运行的命令;
值得注意的是,在这里省略了指定切换到哪个用户下执行/bin/shown和/bin/chmod命令;
在省略的情况下默认为是切换到root用户下执行;
同时也省略了是不是需要beinan用户输入验证密码,如果省略了,默认为是需要验证密码。
为了更详细的说明这些,我们可以构造一个更复杂一点的公式;
授权用户主机=[(切换到哪些用户或用户组)][是否需要密码验证]命令1,