第25课：sudo 提权与配置

学习目标

完成本课学习后，你将能够：

1. 理解 sudo 的设计哲学和与 su 的根本区别。
2. 能够使用 visudo 安全地编辑 /etc/sudoers 文件。
3. 配置用户/用户组以特定权限执行特定命令。
4. 掌握常用的 sudoers 语法，如命令别名、无密码执行和环境变量保留。
5. 了解 sudo 日志的查看方法，进行基本的审计。

核心概念

1. sudo 是什么？

sudo (SuperUser DO) 允许普通用户以其他用户（通常是 root）的身份来执行命令。它的核心思想是 “最小权限原则” 和 “临时授权”。

• 与 su 的关键区别：su 是切换到另一个用户的身份，需要知道该用户的密码，且在会话期间拥有该用户的全部权限。而 sudo 是在当前会话中，仅为单条命令临时提升权限，且只需输入自己的密码（或根据配置无需密码），操作全程被记录日志。
• 安全性：通过精细的配置文件 (/etc/sudoers)，你可以精确控制用户能以谁的身份执行哪些命令，避免了共享 root 密码，极大增强了系统安全性。

2. sudoers 文件：权限的“规则书”

所有 sudo 的配置都位于 /etc/sudoers 文件中。永远不要直接用文本编辑器（如 vim 或 nano）编辑它！必须使用专用的编辑命令 visudo。

sudo visudo

visudo 会在保存时对语法进行检查，防止因配置错误导致 sudo 失效，从而锁住 root 权限。

3. sudoers 文件语法详解

文件中的每一行规则称为一个“别名”或一条“授权规则”，基本结构如下：

授权用户/组  主机=(可以切换的用户:可以切换的用户组)  可执行的命令

• 授权用户/组：可以是用户名、%组名，或者已定义的“用户别名”。
• 主机：通常设为 ALL，表示在任何主机上。
• 可以切换的用户：通常是 (root)，表示可以以 root 身份执行。也可以指定其他用户。
• 可执行的命令：必须使用绝对路径，多个命令用逗号分隔。也可以使用“命令别名”。

代码示例

示例 1：基础授权

允许用户 alice 以 root 身份重启服务器。

# 在 /etc/sudoers 文件中添加以下行：
alice ALL=(root) /usr/sbin/reboot, /usr/sbin/shutdown

解释：alice 在任何主机 (ALL) 上都可以以 root 身份 ((root)) 执行 reboot 和 shutdown 命令。 使用：alice 在自己的终端执行 sudo /usr/sbin/reboot。

示例 2：为用户组授权，并设置无密码执行

允许 developers 组的所有成员以 root 身份重启服务，并且无需输入密码。

# 首先确保组存在：`sudo groupadd developers`
# 然后编辑 /etc/sudoers：
%developers ALL=(root) NOPASSWD: /usr/bin/systemctl restart apache2, /usr/bin/systemctl restart mysql

解释：% 表示这是一个组。NOPASSWD: 标签使得该组成员执行这些命令时不用输密码。 使用：属于 developers 组的用户执行 sudo systemctl restart apache2 将直接成功。

示例 3：使用命令别名简化管理

将多个网络相关的管理命令归为一个别名。

# 在 /etc/sudoers 文件顶部定义别名
Cmnd_Alias NETWORKING_CMDS = /sbin/ifconfig, /sbin/iptables, /usr/bin/netstat

# 然后在授权规则中使用这个别名
netadmin ALL=(root) NETWORKING_CMDS

解释：定义了一个名为 NETWORKING_CMDS 的命令别名。然后授权 netadmin 用户以 root 身份执行该别名下的所有命令。 优势：当需要增加或删除命令时，只需修改别名定义一处，非常清晰和便于维护。

示例 4：限制命令参数（谨慎使用）

只允许用户 backup 以 root 身份执行 tar 命令，但只限于备份 /var/www 目录。

backup ALL=(root) /usr/bin/tar czf /backup/web_*.tar.gz /var/www/

解释：这限制了 tar 命令的参数必须以特定模式开头，从而防止用户执行其他 tar 操作（如解压覆盖系统文件）。注意：这种基于参数的限制非常脆弱，通常不推荐，更安全的方式是编写一个封装脚本并授权该脚本。

示例 5：保留环境变量

默认情况下，sudo 会重置环境变量。如果希望保留当前用户的环境（例如，某些程序需要特定的 HOME 或 PATH），可以使用 env_keep。

# 在 /etc/sudoers 中添加：
Defaults env_keep += "HOME PATH"

解释：这行配置让 sudo 在执行时保留当前用户的 HOME 和 PATH 环境变量。

实践练习

练习 1：基础命令授权

要求：创建一个用户 devuser。配置 sudo，允许该用户以 root 身份执行 cat /etc/shadow 命令来查看密码文件，但不能执行其他任何命令。 预期操作：

1. 使用 visudo 添加规则。
2. 切换到 devuser 用户。
3. 测试 sudo cat /etc/shadow（应成功）。
4. 测试 sudo reboot（应失败）。

练习 2：组授权与命令限制

要求：

1. 创建一个组 webops。
2. 创建一个用户 webuser1 并将其加入 webops 组。
3. 配置 sudo，允许 webops 组的成员无密码地以 root 身份重启 Apache 或 Nginx 服务（使用 systemctl 或 service 命令）。
4. （可选挑战）确保他们只能重启，不能执行 start, stop, status 等其他操作。

练习 3：高级配置

要求：为用户 loguser 配置 sudo 权限，使其能够以 root 身份查看任何日志文件，但只能通过 less 命令查看，且查看的文件路径必须包含 /var/log/。 提示：可以考虑创建一个查看日志的封装脚本，并授权执行该脚本。

常见错误

1. 直接编辑 sudoers 文件：

   • 错误：vim /etc/sudoers 或 nano /etc/sudoers。
   • 后果：如果语法错误，sudo 可能无法工作，而你又没有备用 root 权限，系统会被“锁死”。
   • 正确做法：始终使用 sudo visudo。

2. 命令路径未使用绝对路径：

   • 错误：在规则中写 reboot 而不是 /usr/sbin/reboot。
   • 后果：sudo 会提示 “command not found”，因为它在受保护的安全路径中查找命令。
   • 正确做法：使用 which reboot 或 type reboot 查找命令的绝对路径。

3. 语法错误：

   • 错误：alice ALL=(root) /usr/bin/passwd （允许修改任何人的密码）。
   • 后果：安全漏洞！alice 可以运行 sudo passwd root 来重置 root 密码。
   • 正确做法：限制用户只能修改自己的密码：alice ALL=(root) /usr/bin/passwd [A-z]*, !/usr/bin/passwd root。注意，这种基于参数的限制仍然不完美。

4. 忽略组名前的 %：

   • 错误：developers ALL=(ALL) ALL。
   • 后果：系统会认为你在授权一个名叫 developers 的用户，而不是一个组。
   • 正确做法：组名前必须加 %：%developers ALL=(ALL) ALL。

5. 在规则中使用符号链接：

   • 错误：将命令写为指向实际文件的符号链接。
   • 后果：可能会导致权限检查绕过。
   • 正确做法：始终使用命令最终的实际路径。

小结

• sudo vs su：sudo 提供基于命令的、可审计的临时提权，而 su 是完全切换用户身份。
• 配置文件：所有规则定义在 /etc/sudoers 中，必须使用 visudo 安全编辑。
• 核心语法：遵循 用户 主机=(身份) 命令 的基本结构，善于使用 %组、命令别名 和 NOPASSWD:。
• 安全第一：始终遵循“最小权限原则”，仅授予完成特定任务所必需的最小命令集，避免使用过于宽泛的规则（如 ALL=(ALL) ALL）。
• 审计追踪：所有 sudo 操作都会记录在系统日志中（通常是 /var/log/auth.log 或 /var/log/secure），这是排查问题的重要依据。使用 journalctl -t sudo 或 grep sudo /var/log/auth.log 查看。

掌握 sudo 是成为一名合格的 Linux 系统管理员的关键一步。它不仅能让你的系统更安全，也能在出现问题时提供清晰的审计线索。