技术书栈技术书栈

  1. 技术书栈首页
  2. 文章列表
  3. 技术文章第 202508 期

Linux 下 sudo 命令的深层原理以及用法剖析

技术书栈 发布于 2025-03-02 20:15:02 Linux
文档大纲

Understand Sudo in Linux

引言

在 Linux 系统中，为了保证系统的安全性和稳定性，不同的用户拥有不同的权限。普通用户通常只能对自己的文件和目录进行操作，而涉及到系统级别的操作，如修改系统配置文件、安装软件等，则需要 root 用户的权限。sudo 命令就是为了解决这个问题而设计的，它允许普通用户在执行某些特定命令时暂时获得 root 权限，从而在不切换用户的情况下完成需要高权限的操作。

1. 深入理解 sudo

sudo 是“superuser do”的缩写，是一款功能强大的程序，旨在让授权用户以其他用户身份运行程序，通常是以系统超级用户 root 的身份。sudo 由 Bob Coggeshall 和 Cliff Spencer 于 20 世纪 80 年代开发，旨在提供一种比传统 su 命令更安全、灵活的权限管理方案。在 sudo 出现之前，权限管理存在诸多限制，而 sudo 的引入为系统权限管理带来了革新。

2. 选择 sudo 而非直接使用 root 的原因

直接以 root 账户进行系统操作，就如同在缺乏任何防护的情况下进行高风险工作，存在一系列重大隐患。

直接使用 root 账户的风险

  • 安全威胁显著：root 账户如同系统的“万能钥匙”，一旦其信息被泄露，攻击者即可全面掌控系统。这相当于敌人取得了城堡的所有钥匙，可以随意访问和篡改系统数据及配置，后果严重。
  • 审计和日志追踪困难：使用 root 进行操作时，由于其权限范围广泛，难以准确追踪每个操作的来源。这对系统审计构成巨大挑战，若系统出现问题，难以及时找到问题根源，从而影响故障排查和解决。
  • 误操作风险高：长期使用 root 账户操作，可能导致用户放松警惕，增加误操作风险。即便是小小的失误，如误删关键文件或错误修改配置，都可能对系统造成不可逆的损害，导致系统崩溃或功能失常。

sudo 如何缓解风险

  • 遵循最小权限原则：sudo 严格执行最小权限原则，仅授予用户执行特定任务所需的权限。这如同给用户一把只能开特定房门的钥匙，而非所有房间的万能钥匙，从而降低误操作和安全威胁的风险。
  • 详尽的日志记录：sudo 提供完善的日志功能，记录所有 sudo 执行的命令，类似于系统操作的“黑匣子”。这些记录对日常审计和问题追溯至关重要，帮助系统管理员获取全面的操作信息。
  • 细粒度权限控制：sudo 允许管理员为不同用户或用户组制定个性化权限规则。这如同为不同人员分配特定工作权限，根据职责精确控制可执行的操作，灵活管理系统权限，确保系统安全与稳定。

3. 基本用法

3.1 基本语法

sudo 命令的基本格式如下，其设计简洁而灵活，为用户提供了强大的权限提升功能：

sudo [选项] 命令

以下是一些常用的 sudo 命令选项，它们可以帮助您在不同场景下更精确地控制命令的执行方式及权限：

  • -u 用户：此选项允许你指定以特定用户身份运行命令。如果未使用此选项，sudo 默认以系统超级用户 root 身份执行。通过 -u，你可以灵活切换执行命令的用户身份，从而提高系统操作的灵活性和安全性。

  • -s：使用 -s 选项，sudo 将在新的 shell 环境中运行指定命令。这类似于在终端直接输入和执行命令，允许命令在相对独立的环境中运行，避免潜在的环境变量冲突。

  • -i：-i 选项会模拟一个完整的登录环境来执行命令，包括加载目标用户的环境变量和配置文件，使得执行环境与用户直接登录后的环境一致。这对于需要完整用户环境的操作，例如运行依赖特定配置的脚本，尤为有用。

  • -k：此选项用于忽略并清除之前的认证缓存。通常，系统会缓存用户的认证信息，以便在短时间内再次执行 sudo 命令时无需重新输入密码。而使用 -k 选项后，下次执行 sudo 命令时，用户必须重新输入密码进行认证，从而增强系统的安全性。

3.2 使用示例

以root身份执行命令

sudo apt update
sudo yum install nginx

以其他用户身份执行命令

sudo -u www-data ls /var/www

以shell形式切换到root

sudo -s

以登录shell形式切换到指定用户

sudo -i -u username

4. 配置sudo

sudo 的行为和权限受 /etc/sudoers 文件管控。直接编辑该文件具有一定风险，为防止因语法错误引发系统问题，建议使用 visudo 命令来进行编辑操作。

sudoers 文件主要包含以下两部分内容：

  • 别名定义：通过定义用户、主机、命令等的别名，能让文件的管理工作更加便捷高效。
  • 权限规则：明确规定了哪些用户或用户组可以执行哪些命令。

4.1 别名定义

用户别名

当有多个用户需要拥有相同的权限时，使用用户别名可以简化配置文件。例如，在一个开发团队中，所有开发人员可能需要相同的 sudo 权限。

User_Alias：定义用户别名。如下示例：

User_Alias ADMINS = alice, bob

主机别名

在多主机环境下，使用主机别名可以方便地为不同主机配置不同的权限。例如，对于生产环境和测试环境的主机，可以分别配置不同的权限规则。

HOST_Alias：定义主机别名。如下示例：

Host_Alias SERVER = server1, server2

命令别名

对于一些常用的命令组合或复杂命令，使用命令别名可以使配置文件更加清晰易读。

COMMAND_Alias：定义命令别名。如下示例：

Cmnd_Alias WEB_CMDS = /usr/bin/systemctl start nginx, /usr/bin/systemctl stop nginx

4.2 权限规则

权限规则指定哪些用户可以在特定主机上执行特定命令，以何种方式执行。

## 格式
用户 别名 = (运行身份) 命令别名

## 示例：允许用户alice在主机SERVER上以root身份执行WEB_CMDS中的命令，而且无需输入密码。
alice SERVER = (root) NOPASSWD: WEB_CMDS

4.3 常见配置示例

允许用户组sudo执行任何命令

这是最常见的配置之一，适用于需要让某个用户具备较高权限但又不完全使用 root 用户的场景。比如在一个小型服务器环境中，某个管理员用户需要经常进行系统级操作。

%sudo ALL=(ALL:ALL) ALL

其中， %sudo 表示用户组sudo， ALL 表示所有主机， (ALL:ALL) 表示以所有用户和组身份运行，最后的 ALL 表示所有命令。

允许特定用户执行特定命令

在团队协作环境下，可能有一组用户需要执行特定的系统任务，通过配置用户组权限可以方便地管理这部分用户的操作权限。

john ALL=(ALL) /usr/bin/systemctl restart nginx, /usr/bin/systemctl status nginx

上述规则允许用户john在所有主机上以任何用户身份执行 systemctl restart nginx 和 systemctl status nginx 命令。

允许用户无需输入密码执行命令

对于一些频繁执行且相对安全的命令，配置免密码执行可以提高操作效率。例如，系统监控脚本的执行，管理员可能需要每隔一段时间查看系统资源使用情况。


jane ALL=(ALL) NOPASSWD: /usr/bin/apt update, /usr/bin/apt upgrade

这样配置后，用户jane无需输入密码即可执行 apt update 和 apt upgrade 命令。

4.4 如何配置 sudo 命令

  1. 使用 visudo 命令编辑 /etc/sudoers 文件

visudo 是专门用于编辑 /etc/sudoers 文件的命令，它会在保存时自动检查语法错误，避免因语法问题导致 sudo 无法正常工作。在终端中输入以下命令即可启动编辑：

```shell
sudo visudo
```

  1. 具体配置示例

    • 允许特定用户执行所有命令 : 在 visudo 打开的文件中添加如下行：

      username ALL=(ALL:ALL) ALL

    其中，username 是要赋予权限的用户名。这行配置表示该用户可以在所有主机上以所有用户的身份执行所有命令。

    • 允许用户组执行特定命令: 假设要让 developers 用户组可以执行 /usr/bin/apt-get 命令，添加如下行：
       %developers ALL=(ALL:ALL) /usr/bin/apt-get

    % 符号表示这是一个用户组。

    • 特定命令免密码 : 如果要让 testuser 用户在执行 /sbin/shutdown 命令时无需输入密码，添加如下行：
     testuser ALL=(ALL:ALL) NOPASSWD: /sbin/shutdown
    • 别名配置示例
     User_Alias  DEVELOPERS = user1, user2, user3
 Host_Alias  SERVERS = server1, server2
 Cmnd_Alias  PACKAGE_MANAGEMENT = /usr/bin/apt-get, /usr/bin/dnf


 DEVELOPERS SERVERS=(ALL:ALL) PACKAGE_MANAGEMENT

    这里定义了用户别名 DEVELOPERS、主机别名 SERVERS 和命令别名 PACKAGE_MANAGEMENT，并将 DEVELOPERS 用户组在 SERVERS 主机上执行 PACKAGE_MANAGEMENT 命令的权限进行了配置。

5. 管理sudo权限

5.1 添加用户到sudo组

在许多 Linux发行版中，默认的 sudo 权限是授予特定用户组（如 sudo或 wheel）。通过将用户添加到相应的组，可以赋予其 sudo 权限。

在Debian/Ubuntu上将用户添加到sudo组

sudo usermod -aG sudo username

在Red Hat/CentOS/Fedora上将用户添加到wheel组

sudo usermod -aG wheel username

创建自定义用户组

有时，需要为不同的权限需求创建专门的用户组。可以按照下面的方式来实现：

1. 创建一个新组

sudo groupadd devadmins

2. 将用户添加到新组

sudo usermod -aG devadmins username

3. 在sudoers文件中配置新组的权限

%devadmins ALL=(ALL) /usr/bin/systemctl, /usr/bin/apt

5.2 移除用户的sudo权限

要移除用户的sudo权限，可以将其从sudo组（或相应的权限组）中移除。

sudo deluser username sudo  ## Debian/Ubuntu
sudo gpasswd -d username wheel  ## Red Hat/CentOS/Fedora

6. sudo高级功能

6.1 sudoers中的别名

在sudoers文件中使用别名，能显著提升文件的可读性与可维护性。通过User_Alias（用户别名）、Host_Alias（主机别名）和Command_Alias（命令别名），可以把复杂繁琐的权限规则，精简成清晰明了的配置，极大地降低了管理难度。

6.2 组合使用别名

User_Alias ADMINS = alice, bob
Host_Alias DATABASE_SERVERS = db1, db2
Cmnd_Alias DB_CMDS = /usr/bin/mysql, /usr/bin/mysqldump

ADMINS DATABASE_SERVERS = (dbadmin) DB_CMDS

上述配置实现的功能是，允许ADMINS组中的用户（alice和bob），在DATABASE_SERVERS主机（db1和db2）上，以dbadmin身份执行DB_CMDS中的命令（/usr/bin/mysql和 /usr/bin/mysqldump） 。这种配置方式逻辑清晰，便于管理和调整权限，大大提高了系统权限管理的灵活性和效率。

6.3 环境变量的管理

sudo具备对用户执行命令时所继承环境变量的管控能力，这一特性能够有效增强系统的安全性。在sudo的配置中，可借助 env_keep 和 env_reset 这两个关键设置来实现环境变量的精细管理：

  • env_keep：此设置用于明确指定允许用户在执行命令时保留的环境变量，确保特定环境变量不被清除。
  • env_reset：该设置的作用是重置环境变量，使得用户执行命令时仅保留系统默认允许的环境变量，避免不必要的环境变量带来潜在风险。

以下是相关配置示例：

Defaults env_reset
Defaults env_keep += "PATH LANG"

在上述配置中，env_reset 确保环境变量被重置，而 env_keep 额外保留了 PATH 和 LANG 这两个重要的环境变量，在保证安全的同时满足基本运行需求。

6.4 计时戳和超时设置

sudo采用计时戳机制来管理认证缓存。在默认情况下，用户在成功认证后的一段时间内再次执行需要sudo权限的命令时，无需重新输入密码，这一设计提高了操作的便捷性。

用户可以通过设置 timestamp_timeout 参数来灵活调整认证缓存的超时时间，该参数的单位为分钟。以下是一个配置示例：

Defaults timestamp_timeout=10

上述配置将认证缓存的超时时间设定为10分钟。若将 timestamp_timeout 设置为 0，则意味着每次执行sudo命令时都要求用户输入密码，增强了安全性；若设置为 -1，则会禁用超时机制，即用户一旦认证成功，后续执行sudo命令时将始终无需再次输入密码。

6.5 运行别名用户

sudo提供了强大的功能，允许用户以不同的用户身份来运行命令，而不仅仅局限于以root身份执行。在实际应用中，某些特定任务可能需要以特定用户的权限来完成，此时sudo的这一特性就显得尤为重要。以下是一个使用示例：

sudo -u www-data /usr/bin/systemctl restart nginx

此命令表示以 www-data 用户的身份来执行 /usr/bin/systemctl restart nginx 命令，适用于需要以特定服务用户权限操作的场景。

6.6 运行别名组

除了可以针对单个用户设置权限外，sudo还支持对用户组进行权限配置。通过合理设置组别的权限，可以方便地管理一组用户的操作权限。以下是一个配置示例：

%webadmins ALL=(www-data) /usr/bin/systemctl restart nginx

上述配置意味着 webadmins 组中的所有用户都被赋予了特定权限，他们可以在任意主机上以 www-data 用户的身份执行 /usr/bin/systemctl restart nginx 命令，从而实现对nginx服务的重启操作，提高了权限管理的效率和灵活性。

7. 排查常见sudo问题

7.1 权限不足：权限被拒绝

原因

  • 用户未在sudoers文件中进行配置。这意味着系统没有为该用户赋予执行sudo命令的相关权限，从而导致权限被拒。
  • 用户不在正确的用户组中。若用户所属的用户组未被赋予sudo权限，那么该用户自然也无法正常使用sudo命令。
  • sudoers文件配置错误。配置文件中的错误可能会影响系统对用户权限的判断，进而导致用户无法获得足够的权限。

解决方法

  • 确认用户所在的组是否被赋予了sudo权限。可以通过查看相关配置文件或使用特定命令来检查用户组的权限设置情况。
  • 使用 visudo 命令检查sudoers配置是否正确。visudo 会在保存时自动检查语法错误，能有效避免因手动编辑导致的配置错误。
  • 查看系统日志以了解详细的错误信息。系统日志中通常会记录与sudo权限相关的详细错误，有助于定位问题的根源。

7.2 sudoers文件语法错误

原因

  • 手动编辑sudoers文件时出现语法错误。由于sudoers文件的语法较为严格，手动编辑时容易出现拼写错误、格式错误等问题。
  • 误用别名或权限规则。在配置sudoers文件时，如果对别名或权限规则使用不当，也会导致语法错误。

解决方法

  • 始终使用 visudo 编辑sudoers文件，以此避免语法错误。visudo 提供了语法检查功能，能在保存文件时及时发现并提示错误。
  • 如果语法错误导致无法使用sudo，可以使用root用户或通过单用户模式修复sudoers文件。以root用户身份登录系统或进入单用户模式后，就可以对sudoers文件进行修改和修复。

7.3 密码缓存问题

有时，用户可能会遇到sudo不再要求输入密码，或者总是要求输入密码的情况。这可能会影响用户使用sudo的便捷性和安全性。

解决方法

  • 检查sudoers文件中的NOPASSWD选项。该选项用于设置某些用户或命令在执行sudo时无需输入密码，如果该选项配置不当，可能会导致密码缓存问题。
  • 检查 timestamp_timeout 设置。该设置决定了sudo认证缓存的超时时间，如果设置不合理，可能会导致密码缓存异常。
  • 确认用户的认证缓存正常工作。可以通过查看系统日志或使用相关工具来检查认证缓存的状态。

7.4 用户无法运行指定命令

原因

  • sudoers文件中未正确配置允许用户执行的命令。如果sudoers文件中没有为用户或用户组配置相应的命令权限，用户将无法运行指定的命令。
  • 命令的路径不正确。在sudoers文件中配置命令权限时，需要使用命令的绝对路径，如果路径配置错误，系统将无法找到相应的命令。

解决方法

  • 确认sudoers中命令的绝对路径是否正确。可以通过使用 which 命令来获取命令的正确路径，并在sudoers文件中进行相应的修改。
  • 使用别名或通配符正确配置命令权限。合理使用别名和通配符可以简化sudoers文件的配置，同时确保用户能够正确运行指定的命令。

8. sudo的替代方案

虽然sudo功能强大，但在某些场景下，可能需要其他工具作为替代或补充。

8.1 su

su（switch user）允许用户切换到另一个用户身份，默认切换到root。然而，su需要知道目标用户的密码，不如 sudo 灵活和安全。

8.2 doas

doas 是由 OpenBSD 开发的一款轻量级权限提升工具。其显著优势在于语法简洁明了，配置过程也较为简单。近年来，在 Linux 社区中，doas 逐渐崭露头角，受到越来越多的关注，被不少用户视为 sudo 的简洁替代方案。

安装doas

在不同的 Linux 发行版中，安装 doas 的方式略有不同：

  • Debian/Ubuntu 系统：使用以下命令进行安装：

    sudo apt install opendoas

  • Arch Linux 系统：安装命令如下：

    sudo pacman -S opendoas

配置doas

doas 的配置文件通常位于 /etc/doas.conf 。以下是示例配置，展示了如何授予特定用户或用户组相应的权限：

# 允许wheel组的所有用户使用doas
permit :wheel
# 允许用户john以root身份执行 /usr/bin/systemctl 命令
permit john as root cmd /usr/bin/systemctl

8.3 Polkit

Polkit，全称 PolicyKit，是一个用于定义非特权进程与特权进程之间交互规则的框架。它主要应用于桌面环境的权限管理，与 sudo 的侧重点有所不同。sudo 更侧重于用户在命令行层面的权限提升，而 Polkit 则更多地用于系统服务的权限控制。例如，在桌面环境中，当用户尝试访问某些受保护的系统资源或执行特定的系统服务操作时，Polkit 会依据预设的策略来决定是否授予权限。

8.4 pkexec

pkexec 是 Polkit 框架的一个组成部分，它允许用户以其他用户身份（通常是 root 用户）执行命令。从功能上看，pkexec 与 sudo 有相似之处，都能实现权限提升。但二者的权限管理机制存在差异，pkexec 依赖于 Polkit 进行权限管理，通过解析 Polkit 的策略配置来决定是否允许用户执行特定的特权操作。

9. 总结

在本文中，我们对Linux系统管理中的关键工具sudo展开了全面且深入的剖析。作为Linux生态系统中极为重要的一环，sudo为系统管理员和用户提供了灵活且安全的权限管理机制。借助这一工具，系统管理者能够依据不同的业务需求和安全策略，对用户权限进行细致入微的把控。

在实际操作中，通过合理配置sudoers文件，精心规划用户组管理，严格遵循最小权限原则，我们不仅能够有效提升系统的整体安全性，还能显著提高管理效率。在配置sudoers文件时，精准地设定用户或用户组的权限，避免权限的过度赋予或不足，从而最大程度地降低安全风险。

此外，深入了解sudo的高级功能，如别名的使用、环境变量的管理等，以及熟练掌握常见问题的解决方法，如权限不足、文件语法错误等，能帮助我们在面对实际工作中的各种复杂挑战时，迅速做出准确判断并采取有效的应对措施。无论是日常的系统维护，还是应对突发的安全事件，这些知识和技能都将成为我们坚实的后盾。

文章来源： https://study.disign.me/article/202508/16.linux-sudo.md

发布时间: 2025-02-21

作者： 技术书栈编辑

上一页：开发面试题之Redis的15个使用场景
下一页：Linux命令使用详解之netstat

@技术书栈 Powered by gin and hexo-theme-book.