CentOS下的sudo相关配置的总结归纳
1 基础部分
1.1 常用的命令行
1
2
3
4
5
6
|
man sudoers #参阅帮助 visudo #编辑sudoers的命令 sudo -l #查看可执行或禁止执行的命令 sudo -u user1 /bin/ls #指定user1用户的身份执行命令 sudo -g gp1 /bin/ls #指以gp1组的身份执行 sudo -u user1 -g gp1 /bin/ls #指定用户和组的身份执行 |
1.2 配置文件路径
1
|
/etc/sudoers |
1.3 sudoers的规则分类
sudoers的规则分为以下两类:
1)别名定义(可选)
2)授权规则(必选)
1.4 特殊符号的用法
1
2
3
4
5
6
7
|
"#" 用于注释 "\x" 转义字符 "\" 使用到物理行行尾则把下行的物理行连接成一个逻辑行 "*" 匹配零个或多个字符 "?" 匹配单个字符 "[...]" 匹配指定范围的字符 "[!...]" 匹配非指定范围的字符 |
2 Alias(别名)
2.1 别名的类型
包含以下四种别名:User_Alias,Runas_Alias,Host_Alias,Cmnd_Alias
注:以上别名类型的书写大小写敏感
1
2
3
4
|
Alias ::= 'User_Alias' User_Alias ( ':' User_Alias)* | 'Runas_Alias' Runas_Alias ( ':' Runas_Alias)* | 'Host_Alias' Host_Alias ( ':' Host_Alias)* | 'Cmnd_Alias' Cmnd_Alias ( ':' Cmnd_Alias)* |
2.2 别名的定义格式
2.2.1 单个别名的书写方式
1
|
Alias_Type NAME = item1, item2, ... |
注:别名成员以“,”号分隔
2.2.2 多个别名的书写方式
1
|
Alias_Type NAME = item1, item2, item3 : NAME = item4, item5 |
注:以“:”号分隔
2.2.3 四种书写简式
1
2
3
4
5
6
7
|
User_Alias ::= NAME '=' User_List Runas_Alias ::= NAME '=' Runas_List Host_Alias ::= NAME '=' Host_List Cmnd_Alias ::= NAME '=' Cmnd_List |
2.3 别名定义NAME的有效字符
1
|
NAME ::= [A-Z]([A-Z][0-9]_)* |
2.4 常见的定义范例
2.4.1 命令行别名的定义范例
作用:定义用户别名和别名中包含能否运行的命令
范例:
1
2
|
## Networking Cmnd_Alias NETWORKING = /sbin/route , /sbin/ifconfig , /bin/ping , /sbin/dhclient , /usr/bin/net , /sbin/iptables , /usr/bin/rfcomm , /usr/bin/wvdial , /sbin/iwconfig , /sbin/mii-tool |
2.4.2 用户别名的定义范例
作用:定义用户别名和别名中包含的用户
1
2
|
## User Aliases User_Alias NETWORKINGADMINS = user1, user2, %gp1 |
注:
1)组前面加“%”号
2)用户名必须是系统有效的用户
2.4.3 主机别名的定义范例
作用:定义主机别名和别名中包含的主机
范例:
1
2
|
## Host Aliases Host_Alias FILESERVERS = fs1, fs2 |
注:
1)服务器fs1和fs2属于FILESERVERS组
2)主机可以是主机名称、IP(192.168.0.8)、或网段(192.168.0.0/24)、子网掩码(255.255.255.0)
3 授权规则
3.1 授权规则的格式
1
2
3
4
5
6
7
8
9
10
|
## Next comes the main part: which users can run what software on ## which machines (the sudoers file can be shared between multiple ## systems). ## Syntax: ## ## user MACHINE=COMMANDS ## ## The COMMANDS section may have other options added to it. ## ## Allow root to run any commands anywhere |
其实就这个意思:
1
|
用户名或%组名 主机名称=能否运行的命令 |
注:以上都可以使用别名代替
3.2 授权规则的范例
3.2.1 不使用别名的定义方式
基于系统用户名的定义
1
|
user1 fs1= /sbin/mount /mnt/cdrom , /sbin/umount /mnt/cdrom |
基于系统组的定义
1
|
%gp1 fs1= /sbin/mount /mnt/cdrom , /sbin/umount /mnt/cdrom |
使用ALL关键字的定义
1
|
root ALL=(ALL) ALL |
3.2.2 使用别名的定义方式
1
|
NETWORKINGADMINS FILESERVERS=(NETWORKADMINS) |
注:
1)NETWORKINGADMINS代表定义过的用户或组:user1, user2, %gp1
2)FILESERVERS代表定义过的服务器:fs1, fs2
3)NETWORKADMINS代表定义过的命令:/sbin/route, /sbin/ifconfig, /bin/ping, /sbin/dhclient, /usr/bin/net, /sbin/iptables, /usr/bin/rfcomm, /usr/bin/wvdial, /sbin/iwconfig, /sbin/mii-tool
3.2.3 关闭密码验证提示
在命令列前加入关键字“NOPASSWD: ”,详细如下:
1
|
%wheel ALL=(ALL) NOPASSWD: ALL |
或
1
|
%wheel ALL=(ALL) NOPASSWD: /sbin/route |
4 其他指令
4.1 导入子规则
1
|
includedir /etc/sudoers .d |
使定义于/etc/sudoers.d目录下的子规则生效
4.2 关闭sudo命令的提示
此选项适用于使用shell中调用sudo执行命令时候屏蔽以下提示:
1
|
sudo : sorry, you must have a tty to run sudo |
4.2.1 方法一
注释掉以下行:
1
|
#Defaults requiretty |
4.2.2 方法二
添加以下行:
1
|
Defaults:user1 !requiretty |
4.3 指定安全的执行路径
1
|
Defaults secure_path = /sbin : /bin : /usr/sbin : /usr/bin |
5 开启监视日志
5.1 创建日志文件
1
|
touch /var/log/sudo .log |
5.2 开启sudo的日志功能
1
|
visudo |
加入如下行:
1
2
3
|
Defaults logfile= /var/log/sudo .log Defaults loglinelen=0 Defaults !syslog |
5.3 配置系统日志
5.3.1 修改日志配置文件
1
|
vim /etc/rsyslog .conf |
“local7.*”行后加入如下行:
1
|
local2.debug /var/log/sudo .log |
5.3.2 重启系统日志服务
1
|
service rsyslog restart |
5.4 测试日志
5.4.1 命令行监视日志
1
|
tail -f /var/log/sudo .log |
5.4.2 执行指令测试
1
|
sudo /usr/bin/ssh root@127.0.0.1 |
6 应用场景
6.1 排除部分使用的情景
6.1.2 配置要求
1
2
|
禁止某用户使用: su 命令 允许某用户使用: su 除外命令 |
注:禁止的原因是因为用户可以使用此命令提权
1
|
sudo su - root |
6.1.2 解决方案
1) 查询用户的所属组
1
|
id mail |
显示如下:
1
|
uid=8(mail) gid=12(mail) groups =12(mail) |
2) 定义方法
1
2
|
%mail ALL=(root) NOPASSWD: ALL mail ALL=(root) NOPASSWD: ! /bin/su |
注:定义所属组允许执行所有命令,但拒绝用户执行su命令
3) 相对好的定义方法
1
2
|
%mail ALL=(root) NOPASSWD: /sbin/ *, /bin/ *, /usr/sbin/ *, /usr/bin/ * mail ALL=(root) NOPASSWD: ! /bin/su |
可防止用户使用如下方法破解:
1
2
|
sudo cp /bin/su assu sudo . /assu - root |
4) 相对更好的定义方法
1
2
3
|
%mail ALL=(root) NOPASSWD: /sbin/ *, /bin/ *, /usr/sbin/ *, /usr/bin/ * mail ALL=(root) NOPASSWD: !/*/* /sbin/ *,!/*/* /bin/ *,!/*/* /usr/sbin/ *,!/*/* /usr/bin/ *,\ ! /bin/su |
注:禁止用户使用允许的命令操作运行命令的目录的文件
可防止用户使用如下方法破解:
1
2
3
4
5
|
sudo mv /bin/su /bin/assu #或者 sudo cp /bin/su /bin/assu #然后 sudo assu - root |
5)实际上,我建议做如下配置
1
2
3
|
%mail ALL=(root) NOPASSWD: /sbin/ *, /bin/ *, /usr/sbin/ *, /usr/bin/ * mail ALL=(root) NOPASSWD: !/*/* /sbin/ *,!/*/* /bin/ *,!/*/* /usr/sbin/ *,!/*/* /usr/bin/ *,\ ! /bin/su ,! /usr/bin/passwd *root*,!/*/* * /root/ * |
可防���用户使用passwd命令操作root用户:
1
2
3
|
sudo su - root sudo passwd -l root sudo passwd -u root |
或使用其他命令去操作root的家目录
1
2
|
sudo ls /root/ sudo ls -l /root/ |
怎样?脑洞大开吧?sudo是相对安全的对吧?O(∩_∩)O哈哈~
注:以上个人总结,如有错漏欢迎指正,在下感激不尽。
本文永久更新链接地址:http://www.linuxidc.com/Linux/2016-06/132596.htm