使用 sudo 配置超级用户特权

在开始之前，请注意以下有关维护 sudo 配置的几条基本规则：

提示：sudo 配置和不可变文件系统

不可变文件系统是一旦安装即无法更改的文件系统，它是只读的。如果您使用的 SUSE 产品依赖于不可变文件系统，则该产品附带的 sudo 默认配置将安装在 /usr/etc/sudoers 下，并且任何预先配置的调整都位于 /usr/etc/sudoers.d/ 下。

您自己的自定义配置位于 /etc/sudoers.d/ 下，并优先于 /usr/etc/sudoers.d/ 中提供的任何内容。如果不存在现有的 sudoers 文件，visudo 命令可打开 /usr/etc/sudoers 并将更改的文件保存到 /etc/sudoers。如果已有该文件，visudo 将打开该文件并将数据写入其中。位于 /etc/ 下的实例优先于位于 /usr/etc/ 下的实例。这样，用户所做的配置调整就不会因更新而被破坏。

创建一个 sudo 配置文件，以允许普通用户 (tux) 使用自己的口令（而不是 root 口令）运行 useradd 命令。

修改例 1 “创建用户特定的配置文件”中的配置，使一组命名用户无需输入 root 口令即可运行 useradd 命令。另外，将 usermod 和 userdel 添加到此组可用的命令列表中。

使用别名可以进一步简化例 2 “通过对项目进行分组来创建自定义配置”中的自定义配置。对项目进行分组在一定程度上有所帮助，但使用用户、命令和主机的全局别名是使 sudo 配置保持整洁精简的最有效方法。

使用别名和组而不是列表是处理设置更改的更好方法。如果某个用户离职，只需将其从别名声明文件内的全局 User_Alias 声明中去除即可，而无需寻源到所有单独的自定义配置文件。该过程同样适用于任何其他类型的别名（Host_Alias、Cmnd_Alias 和 Runas_Alias）。

注意：更多信息

在第 7 节 “sudo 配置参考”中查找 sudo 配置语法的更详细说明，并参见 sudo 的手册页。

如果每次以 root 身份运行命令都必须输入 sudo，您可能会觉得非常不便。您可以使用一个内置机制来以永久性 root 特权启动外壳。为此可以使用两个命令选项：

使用这两个命令时，外壳将通过新环境启动，您将以 root 身份登录。在该外壳中执行的任何后续命令都将以提升的特权运行，您无需再次输入口令。当您关闭外壳时，此环境将会终止，在执行另一个 sudo 命令时，您必须再次输入口令。

sudo -s 命令启动交互式非登录外壳。使用 root 口令成功完成身份验证后，所有后续命令都将以提升的特权执行。

SHELL 环境变量或用户的默认外壳指定了要打开哪个外壳。如果此变量为空，则会选取 /etc/passwd 中定义的外壳。

默认情况下，sudo -s 命令从前一用户的目录运行，因为目标用户会继承前一用户的环境。该命令还会记录到您的历史中。

要以永久提升的特权启动外壳，请输入以下命令：

tux:~ > sudo -s
[sudo] password for root:
root:/home/tux # exit
tux:~ > 

提示符从 > 更改为 # 。

您已使用永久提升的特权启动了外壳。执行所有后续命令时，系统不会再次提示输入口令。

sudo -i 与 sudo -s 命令行选项类似，但它会启动交互式登录外壳。使用 sudo -s 命令时，目标用户将继承前一用户的环境。您可以使用 sudo -i 命令来防止出现这种情况，运行此命令后，目标用户将获得一个干净的环境，并可以在他们自己的 $HOME 目录开始工作。

要使用 sudo -i 运行命令，请输入以下命令：

tux:~ > sudo -i
[sudo] password for root:
root:~ # exit
tux:~ > 

您已使用永久提升的特权启动了外壳，并且命令已记录到您的历史记录中。执行所有后续命令时，系统不会再次提示输入口令。

/etc/sudoers 中的 #includedir 指令会忽略以 ~ 字符结尾或包含 . 字符的文件。这是为了避免软件包管理器提供的配置文件（包含 .）或编辑器的临时文件或备份文件（以 ~ 结尾）出现问题。请确保自定义配置文件的名称既不包含这些字符，也不以这些字符结尾。如果存在这种情况，请重命名这些文件。

配置文件的读取顺序决定了何时应用 sudo 配置指令。/etc/sudoers.d/ 下的文件中的指令优先于 /etc/sudoers 中的相同指令。如果 /etc/sudoers.d/ 中指定的自定义指令不起作用，请使用 visudo -c 检查文件的读取顺序。根据需要调整顺序。

如果您不小心破坏了系统的 sudo 配置，因而将自己锁定在 sudo 之外，可以使用 su - 和 root 口令来启动 root 外壳。运行 visudo -c 以检查错误，然后使用 visudo 修复错误。

sudoers 配置文件包含两种类型的选项：字符串和标志。字符串可以包含任何值，而标志则只能在“ON”或“OFF”之间切换。sudoers 配置文件的最重要语法构造如下：

# Everything on a line after # is ignored1
Defaults !insults # Disable the insults flag2
Defaults env_keep += "DISPLAY HOME" # Add DISPLAY and HOME to env_keep3
tux ALL = NOPASSWD: /usr/bin/frobnicate, PASSWD: /usr/bin/journalctl4

每条规则都遵循以下模式（[] 标记的是可选部分）：

#Who      Where         As whom      Tag                What
User_List Host_List = [(User_List)] [NOPASSWD:|PASSWD:] Cmnd_List

ALL 可以用作 User_List、Host_List 和 Cmnd_List。

管理员可以通过在组项目中引入别名，来避免维护一组重复的规则或逐个地维护规则。别名的语法与规则的语法相同。支持以下类型的别名：

将别名视为用户、组、命令和主机的命名列表。以下示例展示了别名的强大作用：

Host_Alias    WEBSERVERS = www1, www2, www31
User_Alias    ADMINS = tux, wilber, suzanne2
Cmnd_Alias    REBOOT = /sbin/halt, /sbin/reboot, /sbin/poweroff3
ADMINS WEBSERVERS = REBOOT4

概括而言，别名可帮助管理员保持 sudoers 精简且易管理（因此保持其安全性）。例如，如果某个用户离职，您只需从 User_Alias 语句以及此人所属的任何系统组中删除此人的姓名一次，而不必搜索包含此特定用户的所有规则。