Linux超级用户权限控制Word文档格式.docx
《Linux超级用户权限控制Word文档格式.docx》由会员分享,可在线阅读,更多相关《Linux超级用户权限控制Word文档格式.docx(13页珍藏版)》请在冰豆网上搜索。
UID和用户的一对一的对应关系,只是要求管理员进行系统管理时,所要坚守的准则,因为系统安全还是第一位的。
所以我们还是把超级权限保留给root这唯一的用户是最好的选择;
如果我们不把UID的0值的分享给其它用户使用,只有root用户是唯一拥有UID=0的话,root用户就是唯一的超级权限用户;
3、普通用户和伪装用户
与超级用户相对的就是普通用户和虚拟(也被称为伪装用户),普通和伪装用户都是受限用户;
但为了完成特定的任务,普通用户和伪装用户也是必须的;
Linux是一个多用户、多任务的操作系统,多用户主要体现在用户的角色的多样性,不同的用户所分配的权限也不同;
这也是Linux系统比Windows系统更为安全的本质所在,即使是现在最新版本的Windows2003,也无法抹去其单用户系统的烙印;
二.超级用户(权限)在系统管理中的作用
超级权限用户(UID为0的用户)到底在系统管理中起什么作用呢?
主要表现在以下两点;
1、对任何文件、目录或进程进行操作;
但值得注意的是这种操作是在系统最高许可范围内的操作;
有些操作就是具有超级权限的root也无法完成;
比如/proc目录,/proc是用来反应系统运行的实时状态信息的,因此即便是root也无能为力;
它的权限如下
[root@localhost~]#pwd
/root
[root@localhost~]#cd/
[root@localhost/]#ls-ld
/proc/
dr-xr-xr-x
134rootroot02005-10-27
就是这个目录,只能是读和执行权限,但绝对没有写权限的;
就是我们把/proc目录的写权限打开给root,root用户也是不能进行写操作;
[root@localhost~]#chmod755/proc修改proc文件权限
/proc/查看权限
drwxr-xr-x
[root@localhost/]#cd/proc/
[root@localhostproc]#mkdirtestdir
mkdir:
无法创建目录‘testdir’:
没有那个文件或目录
2、对于涉及系统全局的系统管理;
硬件管理、文件系统理解、用户管理以及涉及到的系统全局配置等等......如果您执行某个命令或工具时,提示您无权限,大多是需要超级权限来完成;
比如用adduser来添加用户,这个只能用通过超级权限的用户来完成;
3、超级权限的不可替代性;
由于超级权限在系统管理中的不可缺少的重要作用,为了完成系统管理任务,我们必须用到超级权限;
在一般情况下,为了系统安全,对于一般常规级别的应用,不需要root用户来操作完成,root用户只是被用来管理和维护系统之用;
比如系统日志的查看、清理,用户的添加和删除......
在不涉及系统管理的工作的环境下,普通用户足可以完成,比如编写一个文件,听听音乐;
用gimp处理一个图片等......基于普通应用程序的调用,大多普通用户就可以完成;
当我们以普通权限的用户登录系统时,有些系统配置及系统管理必须通过超级权限用户完成,比如对系统日志的管理,添加和删除用户。
而如何才能不直接以root登录,却能从普通用户切换到root用户下才能进行操作系统管理需要的工作,这就涉及到超级权限管理的问题;
获取超级权限的过程,就是切换普通用户身份到超级用户身份的过程;
这个过程主要是通过su和sudo来解决;
三、使用su命令临时切换用户身份;
1、su的适用条件和威力
su命令就是切换用户的工具,怎么理解呢?
比如我们以普通用户beinan登录的,但要添加用户任务,执行useradd,beinan用户没有这个权限,而这个权限恰恰由root所拥有。
解决办法无法有两个,一是退出beinan用户,重新以root用户登录,但这种办法并不是最好的;
二是我们没有必要退出beinan用户,可以用su来切换到root下进行添加用户的工作,等任务完成后再退出root。
我们可以看到当然通过su切换是一种比较好的办法;
通过su可以在用户之间切换,如果超级权限用户root向普通或虚拟用户切换不需要密码,什么是权力?
这就是!
而普通用户切换到其它任何用户都需要密码验证;
2、su的用法:
su[OPTION选项参数][用户]
-,-l,--login
登录并改变到所切换的用户环境;
-c,--commmand=COMMAND
执行一个命令,然后退出所切换到的用户环境;
至于更详细的,请参看mansu;
3、su的范例:
su在不加任何参数,默认为切换到root用户,但没有转到root用户家目录下,也就是说这时虽然是切换为root用户了,但并没有改变root登录环境;
用户默认的登录环境,可以在/etc/passwd中查得到,包括家目录,SHELL定义等;
[beinan@localhost~]$su
Password:
[root@localhostbeinan]#pwd
/home/beinan
su加参数-,表示默认切换到root用户,并且改变到root用户的环境;
[beinan@localhost~]$pwd
[beinan@localhost~]$su-
su参数-用户名
[beinan@localhost~]$su-root
注:
这个和su
-是一样的功能;
[beinan@localhost~]$su-linuxsir
这是切换到linuxsir用户
在这里输入密码;
[linuxsir@localhost~]$pwd
查看用户当前所处的位置;
/home/linuxsir
[linuxsir@localhost~]$id
查看用户的UID和GID信息,主要是看是否切换过来了;
uid=505(linuxsir)gid=502(linuxsir)groups=0(root),500(beinan),502(linuxsir)
[linuxsir@localhost~]$
[beinan@localhost~]$su--cls
这是su的参数组合,表示切换到root用户,并且改变到root环境,然后列出root家目录的文件,然后退出root用户;
在这里输入root的密码;
anaconda-ks.cfg
Desktop
install.log
install.log.syslog
testgroup
testgroupbeinan
testgrouproot
[beinan@localhost~]$pwd
查看当前用户所处的位置;
[beinan@localhost~]$id
查看当前用户信息;
uid=500(beinan)gid=500(beinan)groups=500(beinan)
4、su的优缺点;
su的确为管理带来方便,通过切换到root下,能完成所有系统管理工具,只要把root的密码交给任何一个普通用户,他都能切换到root来完成所有的系统管理工作;
但通过su切换到root后,也有不安全因素;
比如系统有10个用户,而且都参与管理。
如果这10个用户都涉及到超级权限的运用,做为管理员如果想让其它用户通过su来切换到超级权限的root,必须把root权限密码都告诉这10个用户;
如果这10个用户都有root权限,通过root权限可以做任何事,这在一定程度上就对系统的安全造成了威协;
想想Windows吧,简直就是恶梦;
“没有不安全的系统,只有不安全的人”,我们绝对不能保证这10个用户都能按正常操作流程来管理系统,其中任何一人对系统操作的重大失误,都可能导致系统崩溃或数据损失;
所以su工具在多人参与的系统管理中,并不是最好的选择,su只适用于一两个人参与管理的系统,毕竟su并不能让普通用户受限的使用;
超级用户root密码应该掌握在少数用户手中,这绝对是真理!
所以集权而治的存在还是有一定道理的;
四、sudo授权许可使用的su,也是受限制的su
1.sudo的适用条件;
由于su对切换到超级权限用户root后,权限的无限制性,所以su并不能担任多个管理员所管理的系统。
如果用su来切换到超级用户来管理系统,也不能明确哪些工作是由哪个管理员进行的操作。
特别是对于服务器的管理有多人参与管理时,最好是针对每个管理员的技术特长和管理范围,并且有针对性的下放给权限,并且约定其使用哪些工具来完成与其相关的工作,这时我们就有必要用到sudo。
通过sudo,我们能把某些超级权限有针对性的下放,并且不需要普通用户知道root密码,所以sudo相对于权限无限制性的su来说,还是比较安全的,所以sudo也能被称为受限制的su;
另外sudo是需要授权许可的,所以也被称为授权许可的su;
sudo执行命令的流程是当前用户切换到root(或其它指定切换到的用户),然后以root(或其它指定的切换到的用户)身份执行命令,执行完成后,直接退回到当前用户;
而这些的前提是要通过sudo的配置文件/etc/sudoers来进行授权;
2、从编写sudo配置文件/etc/sudoers开始;
sudo的配置文件是/etc/sudoers,我们可以用他的专用编辑工具visodu,此工具的好处是在添加规则不太准确时,保存退出时会提示给我们错误信息;
配置好后,可以用切换到您授权的用户下,通过sudo-l来查看哪些命令是可以执行或禁止的;
/etc/sudoers文件中每行算一个规则,前面带有#号可以当作是说明的内容,并不执行;
如果规则很长,一行列不下时,可以用\号来续行,这样看来一个规则也可以拥有多个行;
/etc/sudoers的规则可分为两类;
一类是别名定义,另一类是授权规则;
别名定义并不是必须的,但授权规则是必须的;
3、/etc/sudoers配置文件中别名规则
别名规则定义格式如下:
Alias_Type
NAME=item1,item2,...
或
Alias_TypeNAME=item1,item2,item3:
NAME=item4,item5
别名类型(Alias_Type):
别名类型包括如下四种
Host_Alias定义主机别名;
User_Alias用户别名,别名成员可以是用户,用户组(前面要加%号)
Runas_Alias用来定义runas别名,这个别名指定的是“目的用户”,即sudo允许切换至的用户;
Cmnd_Alias定义命令别名;
NAME就是别名了,NMAE的命名是包含大写字母、下划线以及数字,但必须以一个大写字母开头,比如SYNADM、SYN_ADM或SYNAD0是合法的,sYNAMDA或1SYNAD是不合法的;
item按中文翻译是项目,在这里我们可以译成成员,如果一个别名下有多个成员,成员与成员之间,通过半角,号分隔;
成员在必须是有效并事实存在的。
什么是有效的呢?
比如主机名,可以通过w查看用户的主机名(或ip地址),如果您只是本地机操作,只通过hostname命令就能查看;
用户名当然是在系统中存在的,在/etc/paswd中必须存在;
对于定义命令别名,成员也必须在系统中事实存在的文件名(需要绝对路径);
item成员受别名类型Host_Alias、User_Alias、Runas_Alias、Cmnd_Alias制约,定义什么类型的别名,就要有什么类型的成员相配。
我们用Host_Alias定义主机别名时,成员必须是与主机相关相关联,比如是主机名(包括远程登录的主机名)、ip地址(单个或整段)、掩码等;
当用户登录时,可以通过w命令来查看登录用户主机信息;
用User_Alias和Runas_Alias定义时,必须要用系统用户做为成员;
用Cmnd_Alias定义执行命令的别名时,必须是系统存在的文件,文件名可以用通配符表示,配置Cmnd_Alias时命令需要绝对路径;
其中Runas_Alias和User_Alias有点相似,但与User_Alias绝对不是同一个概念,Runas_Alias定义的是某个系统用户可以sudo切换身份到Runas_Alias下的成员;
我们在授权规则中以实例进行解说;
别名规则是每行算一个规则,如果一个别名规则一行容不下时,可以通过\来续行;
同一类型别名的定义,一次也可以定义几个别名,他们中间用:
号分隔,
Host_Alias
HT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24
定义主机别名HT01,通过=号列出成员
HT02=st09,st10
主机别名HT02,有两个成员;
HT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24:
HT02=st09,st10
上面的两条对主机的定义,可以通过一条来实现,别名之间用:
号分割;
注:
我们通过Host_Alias定义主机别名时,项目可以是主机名、可以是单个ip(整段ip地址也可以),也可以是网络掩码;
如果是主机名,必须是多台机器的网络中,而且这些机器得能通过主机名相互通信访问才有效。
那什么才算是通过主机名相互通信或访问呢?
比如ping主机名,或通过远程访问主机名来访问。
在我们局域网中,如果让计算机通过主机名访问通信,必须设置/etc/hosts,/etc/resolv.conf,还要有DNS做解析,否则相互之间无法通过主机名访问;
在设置主机别名时,如果项目是中某个项目是主机名的话,可以通过hostname命令来查看本地主机的主机名,通过w命令查来看登录主机是来源,通过来源来确认其它客户机的主机名或ip地址;
对于主机别名的定义,看上去有点复杂,其实是很简单。
如果您不明白Host_Alias是怎么回事,也可以不用设置主机别名,在定义授权规则时通过ALL来匹配所有可能出现的主机情况。
如果您把主机方面的知识弄的更明白,的确需要多多学习。
User_Alias
SYSAD=beinan,linuxsir,bnnnb,lanhaitun
定义用户别名,下有四个成员;
要在系统中确实在存在的;
NETAD=beinan,bnnb
定义用户别名NETAD,我想让这个别名下的用户来管理网络,所以取了NETAD的别名;
WEBMASTER=linuxsir
定义用户别名WEBMASTER,我想用这个别名下的用户来管理网站;
SYSAD=beinan,linuxsir,bnnnb,lanhaitun:
NETAD=beinan,bnnb:
WEBMASTER=linuxsir
上面三行的别名定义,可以通过这一行来实现,请看前面的说明,是不是符合?
Cmnd_Alias
USERMAG=/usr/sbin/adduser,/usr/sbin/userdel,/usr/bin/passwd[A-Za-z]*,/bin/chown,/bin/chmod
注意:
命令别名下的成员必须是文件或目录的绝对路径;
DISKMAG=/sbin/fdisk,/sbin/parted
NETMAG=/sbin/ifconfig,/etc/init.d/network
KILL=/usr/bin/kill
PWMAG=/usr/sbin/reboot,/usr/sbin/halt
SHELLS=/usr/bin/sh,/usr/bin/csh,/usr/bin/ksh,\
/usr/local/bin/tcsh,/usr/bin/rsh,
\
/usr/local/bin/zsh
这行定义命令别名有点长,可以通过\号断行;
SU=/usr/bin/su,/bin,/sbin,/usr/sbin,/usr/bin
在上面的例子中,有KILL和PWMAG的命令别名定义,我们可以合并为一行来写,也就是等价行;
KILL=/usr/bin/kill:
PWMAG=/usr/sbin/reboot,/usr/sbin/halt
这一行就代表了KILL和PWMAG命令别名,把KILL和PWMAG的别名定义合并在一行写也是可以的;
Runas_Alias
OP=root,operator
DBADM=mysql:
OP=root,operator
这行是上面两行的等价行;
至于怎么理解Runas_Alias,我们必须得通过授权规则的实例来理解;
4、/etc/sudoers中的授权规则:
授权规则是分配权限的执行规则,我们前面所讲到的定义别名主要是为了更方便的授权引用别名;
如果系统中只有几个用户,其实下放权限比较有限的话,可以不用定义别名,而是针对系统用户直接直接授权,所以在授权规则中别名并不是必须的;
授权规则并不是无章可寻,我们只说基础一点的,比较简单的写法,如果您想详细了解授权规则写法的,请参看mansudoers
授权用户
主机=命令动作
这三个要素缺一不可,但在动作之前也可以指定切换到特定用户下,在这里指定切换的用户要用()号括起来,如果不需要密码直接运行命令的,应该加NOPASSWD:
参数,但这些可以省略;
举例说明;
实例一:
beinanALL=/bin/chown,/bin/chmod
如果我们在/etc/sudoers中添加这一行,表示beinan可以在任何可能出现的主机名的系统中,可以切换到root用户下执行/bin/chown和/bin/chmod命令,通过sudo-l来查看beinan在这台主机上允许和禁止运行的命令;
值得注意的是,在这里省略了指定切换到哪个用户下执行/bin/shown和/bin/chmod命令;
在省略的情况下默认为是切换到root用户下执行;
同时也省略了是不是需要beinan用户输入验证密码,如果省略了,默认为是需要验证密码。
为了更详细的说明这些,我们可以构造一个更复杂一点的公式;
授权用户主机=[(切换到哪些用户或用户组)][是否需要密码验证]命令1,[(切换到哪些用户或用户组)][是否需要密码验证][命令2],[(切换到哪些用户或用户组)][是否需要密码验证][命令3]......
注解:
凡是[]中的内容,是可以省略;
命令与命令之间用,号分隔;
通过本文的例子,可以对照着看哪些是省略了,哪些地方需要有空格;
在[(切换到哪些用户或用户组)],如果省略,则默认为root用户;
如果是ALL,则代表能切换到所有用户;
注意要切换到的目的用户必须用()号括起来,比如(ALL)、(beinan)
实例二:
beinan
ALL=(root)
/bin/chown,/bin/chmod
如果我们把第一个实例中的那行去掉,换成这行;
表示的是beinan可以在任何可能出现的主机名的主机中,可以切换到root下执行/bin/chown,可以切换到任何用户招执行/bin/chmod命令,通过sudo-l来查看beinan在这台主机上允许和禁止运行的命令;
实例三:
NOPASSWD:
/bin/chown,/bin/chmod
如果换成这个例子呢?
表示的是beinan可以在任何可能出现的主机名的主机中,可以切换到root下执行/bin/chown,不需要输入beinan用户的密码;
并且可以切换到任何用户下执行/bin/chmod命