《新手学堂：su和sudo命令的区别与使用技巧》由会员分享，可在线阅读，更多相关《新手学堂：su和sudo命令的区别与使用技巧（12页珍藏版）》请在金锄头文库上搜索。
1、新手学堂：su 和 sudo 命令的区别与使用技巧一. 使用 su 命令临时切换用户身份1、su 的适用条件和威力su 命令就是切换用户的工具，怎么理解呢？比如我们以普通用户 beinan 登录的，但要添加用户任务，执行 useradd ，beinan 用户没有这个权限，而这个权限恰恰由 root 所拥有。解决办法无法有两个，一是退出 beinan 用户，重新以 root 用户登录，但这种办法并不是最好的；二是我们没有必要退出 beinan 用户，可以用 su 来切换到 root 下进行添加用户的工作，等任务完成后再退出 root。我们可以看到当然通过 su 切换是一种比较好的办法；通过 su
2、 可以在用户之间切换，如果超级权限用户 root 向普通或虚拟用户切换不需要密码，什么是权力？这就是！而普通用户切换到其它任何用户都需要密码验证；2、su 的用法：su OPTION 选项参数 用户 -, -l, login 登录并改变到所切换的用户环境；-c, commmand=COMMAND 执行一个命令，然后退出所切换到的用户环境；至于更详细的，请参看 man su ；3、su 的范例：su 在不加任何参数，默认为切换到 root 用户，但没有转到 root 用户家目录下，也就是说这时虽然是切换为 root 用户了，但并没有改变 root 登录环境；用户默认的登录环境，可以在 /etc/
3、passwd 中查得到，包括家目录，SHELL 定义等；beinanlocalhost ?$ suPassword:rootlocalhost beinan# pwd/home/beinansu 加参数 - ，表示默认切换到 root 用户，并且改变到 root 用户的环境；beinanlocalhost ?$ pwd/home/beinanbeinanlocalhost ?$ su -Password:rootlocalhost # pwd/rootsu 参数 - 用户名beinanlocalhost ?$ su - root 注：这个和 su - 是一样的功能；Password:rootl
4、ocalhost # pwd/rootbeinanlocalhost ?$ su - linuxsir 注：这是切换到 linuxsir 用户Password: 注：在这里输入密码；linuxsirlocalhost ?$ pwd 注：查看用户当前所处的位置；/home/linuxsirlinuxsirlocalhost ?$ id 注：查看用户的 UID 和 GID 信息，主要是看是否切换过来了；uid=505(linuxsir) gid=502(linuxsir) groups=0(root),500(beinan),502(linuxsir)linuxsirlocalhost ?$bei
5、nanlocalhost ?$ su - -c ls 注：这是 su 的参数组合，表示切换到 root 用户，并且改变到root 环境，然后列出 root 家目录的文件，然后退出 root 用户；Password: 注：在这里输入 root 的密码；anaconda-ks.cfg Desktop install.log install.log.syslog testgroup testgroupbeinan testgrouprootbeinanlocalhost ?$ pwd 注：查看当前用户所处的位置；/home/beinanbeinanlocalhost ?$ id 注：查看当前用户信息
6、；uid=500(beinan) gid=500(beinan) groups=500(beinan)4、su 的优缺点；su 的确为管理带来方便，通过切换到 root 下，能完成所有系统管理工具，只要把 root 的密码交给任何一个普通用户，他都能切换到 root 来完成所有的系统管理工作；但通过 su 切换到 root 后，也有不安全因素；比如系统有 10 个用户，而且都参与管理。如果这 10 个用户都涉及到超级权限的运用，做为管理员如果想让其它用户通过 su 来切换到超级权限的 root，必须把 root 权限密码都告诉这10 个用户；如果这 10 个用户都有 root 权限，通过 ro
7、ot 权限可以做任何事，这在一定程度上就对系统的安全造成了威协；想想 Windows 吧，简直就是恶梦；“没有不安全的系统，只有不安全的人 ”，我们绝对不能保证这 10 个用户都能按正常操作流程来管理系统，其中任何一人对系统操作的重大失误，都可能导致系统崩溃或数据损失；所以 su 工具在多人参与的系统管理中，并不是最好的选择，su 只适用于一两个人参与管理的系统，毕竟 su 并不能让普通用户受限的使用；超级用户 root 密码应该掌握在少数用户手中，这绝对是真理！所以集权而治的存在还是有一定道理的；二. sudo 授权许可使用的 su，也是受限制的 su1. sudo 的适用条件由于 su 对
8、切换到超级权限用户 root 后，权限的无限制性，所以 su 并不能担任多个管理员所管理的系统。如果用 su 来切换到超级用户来管理系统，也不能明确哪些工作是由哪个管理员进行的操作。特别是对于服务器的管理有多人参与管理时，最好是针对每个管理员的技术特长和管理范围，并且有针对性的下放给权限，并且约定其使用哪些工具来完成与其相关的工作，这时我们就有必要用到 sudo。通过 sudo，我们能把某些超级权限有针对性的下放，并且不需要普通用户知道 root 密码，所以sudo 相对于权限无限制性的 su 来说，还是比较安全的，所以 sudo 也能被称为受限制的 su ；另外sudo 是需要授权许可的，所
9、以也被称为授权许可的 su；sudo 执行命令的流程是当前用户切换到 root（或其它指定切换到的用户），然后以 root（或其它指定的切换到的用户）身份执行命令，执行完成后，直接退回到当前用户；而这些的前提是要通过 sudo 的配置文件/etc/sudoers 来进行授权；2、从编写 sudo 配置文件/etc/sudoers 开始sudo 的配置文件是/etc/sudoers ，我们可以用他的专用编辑工具 visodu ，此工具的好处是在添加规则不太准确时，保存退出时会提示给我们错误信息；配置好后，可以用切换到您授权的用户下，通过 sudo -l 来查看哪些命令是可以执行或禁止的；/etc
10、/sudoers 文件中每行算一个规则，前面带有#号可以当作是说明的内容，并不执行；如果规则很长，一行列不下时，可以用号来续行，这样看来一个规则也可以拥有多个行；/etc/sudoers 的规则可分为两类；一类是别名定义，另一类是授权规则；别名定义并不是必须的，但授权规则是必须的；3、/etc/sudoers 配置文件中别名规则别名规则定义格式如下：Alias_Type NAME = item1, item2, 或Alias_Type NAME = item1, item2, item3 : NAME = item4, item5别名类型（Alias_Type）：别名类型包括如下四种Host_
11、Alias 定义主机别名；User_Alias 用户别名，别名成员可以是用户，用户组（前面要加%号）Runas_Alias 用来定义 runas 别名，这个别名指定的是“目的用户”，即 sudo 允许切换至的用户；Cmnd_Alias 定义命令别名；NAME 就是别名了，NMAE 的命名是包含大写字母、下划线以及数字，但必须以一个大写字母开头，比如 SYNADM、SYN_ADM 或 SYNAD0 是合法的，sYNAMDA 或 1SYNAD 是不合法的；item 按中文翻译是项目，在这里我们可以译成成员，如果一个别名下有多个成员，成员与成员之间，通过半角,号分隔；成员在必须是有效并事实存在的。什
12、么是有效的呢？比如主机名，可以通过 w 查看用户的主机名（或 ip 地址），如果您只是本地机操作，只通过 hostname 命令就能查看；用户名当然是在系统中存在的，在/etc/paswd 中必须存在；对于定义命令别名，成员也必须在系统中事实存在的文件名（需要绝对路径）；item 成员受别名类型 Host_Alias、User_Alias 、Runas_Alias 、Cmnd_Alias 制约，定义什么类型的别名，就要有什么类型的成员相配。我们用 Host_Alias 定义主机别名时，成员必须是与主机相关相关联，比如是主机名（包括远程登录的主机名）、ip 地址（单个或整段）、掩码等；当用户登录
13、时，可以通过 w 命令来查看登录用户主机信息；用 User_Alias 和 Runas_Alias 定义时，必须要用系统用户做为成员；用 Cmnd_Alias 定义执行命令的别名时，必须是系统存在的文件，文件名可以用通配符表示，配置 Cmnd_Alias 时命令需要绝对路径；其中 Runas_Alias 和 User_Alias 有点相似，但与 User_Alias 绝对不是同一个概念，Runas_Alias 定义的是某个系统用户可以 sudo 切换身份到Runas_Alias 下的成员；我们在授权规则中以实例进行解说；别名规则是每行算一个规则，如果一个别名规则一行容不下时，可以通过来续行；同
14、一类型别名的定义，一次也可以定义几个别名，他们中间用:号分隔，Host_Alias HT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24 注：定义主机别名HT01，通过= 号列出成员Host_Alias HT02=st09,st10 注：主机别名 HT02，有两个成员；Host_Alias HT01=localhost,st05,st04,10,0,0,4,255.255.255.0,192.168.1.0/24:HT02=st09,st10 注：上面的两条对主机的定义，可以通过一条来实现，别名之间用:号分割；注：我们通过
15、 Host_Alias 定义主机别名时，项目可以是主机名、可以是单个 ip（整段 ip 地址也可以），也可以是网络掩码；如果是主机名，必须是多台机器的网络中，而且这些机器得能通过主机名相互通信访问才有效。那什么才算是通过主机名相互通信或访问呢？比如 ping 主机名，或通过远程访问主机名来访问。在我们局域网中，如果让计算机通过主机名访问通信，必须设置/etc/hosts， /etc/resolv.conf ，还要有 DNS 做解析，否则相互之间无法通过主机名访问；在设置主机别名时，如果项目是中某个项目是主机名的话，可以通过 hostname 命令来查看本地主机的主机名，通过 w 命令查来看登录
16、主机是来源，通过来源来确认其它客户机的主机名或 ip 地址；对于主机别名的定义，看上去有点复杂，其实是很简单。如果您不明白 Host_Alias 是怎么回事，也可以不用设置主机别名，在定义授权规则时通过 ALL 来匹配所有可能出现的主机情况。如果您把主机方面的知识弄的更明白，的确需要多多学习。User_Alias SYSAD=beinan,linuxsir,bnnnb,lanhaitun 注：定义用户别名，下有四个成员；要在系统中确实在存在的；User_Alias NETAD=beinan,bnnb 注：定义用户别名 NETAD ，我想让这个别名下的用户来管理网络，所以取了 NETAD 的别名；User_Alias WEBMASTER=linuxsir 注：定义用户别名 WEBMASTER，我想用这个别名下的用户来管理网站；User_Alias SYSAD=be
