sudo通过/etc/sudoers文件实现精细权限控制，遵循最小权限原则，使用visudo编辑配置，结合用户组、Cmnd_Alias和NOPASSWD等机制，按需授权并定期审计撤销，确保安全与灵活兼顾。
sudo
。它允许系统管理员授予普通用户执行特定命令的权限，而无需直接分享root用户的密码。这不仅大大提升了系统的安全性，也让日常运维变得更加灵活和可控。说白了，就是给普通用户一个“临时通行证”，让他们能办点大事，但又不会把整个“金库钥匙”都交出去。
解决方案
sudo
的工作机制，简单来说，就是通过一个名为
/etc/sudoers
的配置文件来定义哪些用户（或用户组）可以在哪些主机上，以哪个用户的身份，执行哪些命令。当你使用
sudo
命令时，系统会检查这个配置文件，如果匹配成功，并且你提供了正确的密码（通常是你自己的用户密码，而不是root密码），那么该命令就会以被授权的身份执行。
要配置
sudo
权限，我们通常会使用
visudo
命令来编辑
/etc/sudoers
文件。
visudo
的好处在于它会在你保存前检查语法错误，避免因为配置错误导致
sudo
功能失效，把你锁在root权限之外——这可不是闹着玩的，搞不好就得进单用户模式修复了。
基本用法：普通用户执行需要root权限的命令时，只需在命令前加上
sudo
：
sudo systemctl restart nginx
授予临时权限的步骤：
登录为root用户或使用已有的sudo权限用户。执行
visudo
命令。 这会打开
/etc/sudoers
文件，通常是用
vi
编辑器。添加或修改规则。 规则的格式通常是：
用户 主机=(以哪个用户身份执行) 命令
例如，要让用户
devuser
可以重启
nginx
服务：
devuser ALL=(root) /usr/bin/systemctl restart nginx
如果你想让
devuser
不需要密码就能执行这个命令，可以加上
NOPASSWD:
：
devuser ALL=(root) NOPASSWD: /usr/bin/systemctl restart nginx
保存并退出
visudo
。
这样，
devuser
就可以在需要时执行
sudo systemctl restart nginx
了。这种方式非常精细，可以根据实际需求给予最小化的权限。
如何安全地配置sudo权限，避免潜在风险？
配置
sudo
权限，安全性是首要考量，毕竟我们是在授予普通用户执行特权操作的能力。我个人觉得，最核心的原则就是“最小权限原则”——只授予完成任务所必需的权限，不多一分一毫。
细粒度控制： 避免直接给用户
ALL=(ALL) ALL
这样的权限，这等同于把root密码间接给了他。我们应该精确到具体的命令。例如，如果一个用户只需要管理Apache服务，就只给他
systemctl restart apache2
、
systemctl stop apache2
、
systemctl start apache2
的权限，而不是所有命令。这可以通过定义
Cmnd_Alias
来实现，把一组相关命令打包。
Cmnd_Alias APACHE_CMDS = /usr/bin/systemctl start apache2, /usr/bin/systemctl stop apache2, /usr/bin/systemctl restart apache2devuser ALL=(root) APACHE_CMDS
使用用户组： 当有多个用户需要相同的权限时，把他们加入一个特定的用户组，然后在
sudoers
文件中为这个组配置权限。这样，管理起来更方便，也减少了重复配置的错误。
%devgroup ALL=(root) APACHE_CMDS
注意
%
符号表示这是一个用户组。
谨慎使用
NOPASSWD:
： 虽然方便，但
NOPASSWD:
意味着用户执行
sudo
命令时无需输入密码，这无疑降低了安全性。只在确实需要自动化脚本执行，或者在非常信任的环境下，并且权限范围极小的情况下才考虑使用。在我看来，大多数情况下，要求输入密码是好的，它至少能让用户在执行特权操作前多思考一下。限制环境变量：
sudo
默认会清理用户的环境变量，以防止恶意用户通过设置
PATH
等环境变量来执行非预期的命令。但有时候，某些应用程序需要特定的环境变量。如果必须允许用户保留某些环境变量，可以通过
Defaults env_keep
来配置，但要非常小心，避免引入安全漏洞。日志与审计：
sudo
操作都会被记录下来，通常是在
/var/log/auth.log
（或
syslog
）中。定期审查这些日志是发现潜在滥用或异常行为的关键。我总觉得，光授权不够，还得知道谁用了，用了什么，什么时候用的。这对于事后追溯和审计至关重要。
针对特定任务或用户的临时权限，sudoers文件应如何编写？
编写
sudoers
文件，其实就是一场精密的权限设计。对于临时性的任务或用户，我们的目标是：授予足够完成任务的权限，但一旦任务完成，这些权限就应该被移除。
ViiTor实时翻译
AI实时多语言翻译专家！强大的语音识别、AR翻译功能。
116 查看详情 
单次任务授权：假设一个开发人员
developer1
需要临时修改一个系统配置文件
/etc/some_app/config.conf
。我们不能直接给他
vi /etc/some_app/config.conf
的权限，因为他可能用
vi
执行shell命令。更安全的方式是给他一个特定的脚本权限，或者一个更受限的编辑工具。但如果只是修改文件内容，可以考虑给他
cat
和
echo
的权限，配合重定向。
developer1 ALL=(root) /usr/bin/cat /etc/some_app/config.confdeveloper1 ALL=(root) /usr/bin/echo * >> /etc/some_app/config.conf
这只是一个例子，实际操作中，可能需要一个更复杂的脚本来确保文件内容的完整性。
特定服务管理：如果一个运维人员
opsuser
需要临时管理某个特定的服务，比如
docker
服务，但又不能完全控制整个系统：
opsuser ALL=(root) /usr/bin/systemctl restart docker.service, /usr/bin/systemctl stop docker.service, /usr/bin/systemctl start docker.service
这里我用了逗号分隔多个命令。如果命令列表很长，前面提到的
Cmnd_Alias
就派上用场了。
限制执行路径：为了防止用户执行非预期的命令（例如，用户自己写了一个名为
ls
的脚本并放在其
PATH
中），
sudoers
默认会清理
PATH
。我们也可以明确指定命令的完整路径。
devuser ALL=(root) /bin/ls, /bin/cat, /usr/bin/find
这样就确保了用户只能执行系统自带的
ls
、
cat
和
find
。
临时用户账户的配合：对于真正的“临时”用户，比如外包团队成员，除了在
sudoers
中配置权限，我更倾向于创建临时的用户账户，并设置账户过期时间。结合
sudoers
，当账户过期时，其
sudo
权限自然也就失效了。
# 创建临时用户，并设置过期时间为2023年12月31日sudo useradd -e 2023-12-31 temp_contractorsudo passwd temp_contractor# 然后在sudoers中为temp_contractor配置权限
虽然
sudoers
本身没有直接的“过期时间”设置，但配合用户账户的过期管理，效果是一样的。
当临时权限不再需要时，如何正确撤销或禁用？
撤销权限和授予权限一样重要，甚至更重要。忘记撤销的临时权限，往往会成为日后系统安全隐患的伏笔。在我看来，权限的生命周期管理是一个闭环，授权只是开始，撤销才是结束。
编辑
sudoers
文件，移除相关条目：这是最直接也最常用的方法。当一个临时任务完成，或者一个临时用户不再需要其
sudo
权限时，立即使用
visudo
命令打开
/etc/sudoers
文件，找到之前添加的相应行，将其删除或注释掉（在行首添加
#
）。
# 使用visudo打开文件sudo visudo# 找到并删除或注释掉以下行：# devuser ALL=(root) /usr/bin/systemctl restart nginx# %devgroup ALL=(root) APACHE_CMDS
保存退出后，这些权限立即生效。
禁用或删除用户账户：如果这个临时权限是授予一个临时用户账户的，那么在任务完成后，最彻底的方法是禁用或删除该用户账户。
禁用账户：
sudo usermod -L temp_user
（锁定密码，用户无法登录）
sudo usermod -e 1 temp_user
（设置账户过期日期为过去的时间，使其立即过期）删除账户：
sudo userdel -r temp_user
（
-r
选项会同时删除用户的主目录）禁用账户的好处是，如果未来可能还需要这个用户，可以随时重新启用。删除账户则更彻底，但数据也一并清除。
定期审计与审查：我个人建议，所有的
sudoers
配置都应该定期进行审计。比如，每季度或每半年，系统管理员应该审查
/etc/sudoers
文件，确认其中所有的权限配置是否仍然必要和合理。这就像是清理你的衣柜，有些旧衣服可能再也穿不到了，就该扔掉。这种主动的审查机制，能有效防止权限蔓延，确保系统始终处于最小权限状态。
使用配置管理工具：在大型环境中，手动管理
sudoers
文件是不可持续的。Ansible、Puppet、Chef等配置管理工具可以帮助我们自动化
sudoers
文件的部署和管理。通过这些工具，我们可以定义权限的期望状态，当权限不再需要时，只需修改配置，工具就会自动将其从所有相关服务器上移除。这不仅提高了效率，也大大降低了人为失误的风险，确保了权限的一致性和及时撤销。
以上就是如何在Linux中管理临时权限 Linux sudo临时授权的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/433090.html
微信扫一扫 
支付宝扫一扫 
