2 sudo #

以普通用户身份登录后，您可以在命令前加上 sudo 以 root 身份运行任何命令。按照提示输入 root 口令后，如果身份验证成功，您便能以 root 身份运行命令：

tux > id -un1
tux
tux > sudo id -un
root's password:2
root
tux > id -un
tux3
tux > sudo id -un
4
root

提示：I/O 重定向

I/O 重定向的工作方式与您预期的可能不同：

tux > sudo echo s > /proc/sysrq-trigger
bash: /proc/sysrq-trigger: Permission denied
tux > sudo cat < /proc/1/maps
bash: /proc/1/maps: Permission denied

只有 echo/cat 二进制会使用较高特权运行，重定向则由用户外壳使用用户特权执行。您可以按第 2.1.2 节 “启动外壳”中所述启动外壳，也可以使用 dd 实用程序来启动：

echo s | sudo dd of=/proc/sysrq-trigger
sudo dd if=/proc/1/maps | cat

必须在每条命令前加上 sudo 可能很繁琐。虽然可以将外壳指定为命令 sudo bash，但还是建议您使用以下其中一种内置机制来启动外壳：

默认情况下，sudo 不会传播环境变量：

tux > ENVVAR=test env | grep ENVVAR
ENVVAR=test
tux > ENVVAR=test sudo env | grep ENVVAR
root's password:
1
tux > 

此行为可通过 env_reset 选项进行更改，请参见表 2.1 “有用的标志和选项”。

sudo 的主要策略配置文件为 /etc/sudoers。如果此文件中存在错误，您可能便会无法进入系统，因此强烈建议您使用 visudo 来编辑配置文件。此举可防止同时更改打开的文件，并会在保存修改之前检查语法错误。

您还可以通过设置 EDITOR 环境变量来使用除 vi 以外的编辑器（不论名字如何），例如：

sudo EDITOR=/usr/bin/nano visudo

不过，/etc/sudoers 文件本身是由系统包提供的，更新时这些修改可能会取消。因此，建议您将自定义配置放到 /etc/sudoers.d/ 目录下的文件中。该目录下的任何文件都会自动纳入系统中。要在该子目录下创建或编辑文件，请运行：

sudo visudo -f /etc/sudoers.d/NAME

或者，使用其他编辑器（例如 nano）：

sudo EDITOR=/usr/bin/nano visudo -f /etc/sudoers.d/NAME

注意：/etc/sudoers.d 中忽略的文件

/etc/sudoers 中的 #includedir 命令（用于 /etc/sudoers.d）会忽略以 ~（波浪号）结尾或包含 .（点）的文件。

关于 visudo 命令的详细信息，请运行 man 8 visudo。

在 sudoers 配置文件中，有两种类型的选项：字符串和标志。字符串可以包含任何值，而标志则只能在“ON”或“OFF”之间切换。sudoers 配置文件最重要的语法构造为：

# Everything on a line after a # gets ignored 1
Defaults !insults # Disable the insults flag 2
Defaults env_keep += "DISPLAY HOME" # Add DISPLAY and HOME to env_keep
tux ALL = NOPASSWD: /usr/bin/frobnicate, PASSWD: /usr/bin/journalctl 3

Defaults targetpw # Turn targetpw flag ON

Defaults !rootpw # Turn rootpw flag OFF

Defaults env_reset # Turn env_reset flag ON

# Set env_keep to contain EDITOR and PROMPT
Defaults env_keep = "EDITOR PROMPT"
Defaults env_keep += "JRE_HOME" # Add JRE_HOME
Defaults env_keep -= "JRE_HOME" # Remove JRE_HOME

# Set env_delete to contain EDITOR and PROMPT
Defaults env_delete = "EDITOR PROMPT"
Defaults env_delete += "JRE_HOME" # Add JRE_HOME
Defaults env_delete -= "JRE_HOME" # Remove JRE_HOME

还可以使用 Defaults 令牌为用户、主机和命令集合创建别名。并且，可以仅将选项应用到特定用户集。

关于 /etc/sudoers 配置文件的详细信息，请参见 man 5 sudoers。

sudoers 配置中的规则可能会非常复杂，因此本节仅涉及基本内容。每个规则都遵循基本模式（[] 标记的是可选部分）：

#Who      Where         As whom      Tag                What
User_List Host_List = [(User_List)] [NOPASSWD:|PASSWD:] Cmnd_List

ALL 可以用作 User_List、Host_List 和 Cmnd_List。

允许 tux 在无需输入口令的情况下以 root 身份运行所有命令的规则：

tux ALL = NOPASSWD: ALL

允许 tux 运行 systemctl restart apache2 的规则：

tux ALL = /usr/bin/systemctl restart apache2

允许 tux 在不带自变量的情况下以 admin 身份运行 wall 的规则：

tux ALL = (admin) /usr/bin/wall ""

警告：危险构造

以下类型的构造

ALL ALL = ALL

在没有 Defaults targetpw 的情况下切勿使用，否则任何人都能以 root 身份运行命令。

在具有特殊限制（“用户 X 只能以 root” 身份运行命令 Y）的情况下，无法实现此目的。在其他情况下，还是建议进行某种分隔。按照惯例，组 wheel 的成员能以 root 身份运行所有带有 sudo 的命令。

在使用 sudo 启动图形应用程序时，可能会出现以下错误：

tux > sudo xterm
xterm: Xt error: Can't open display: %s
xterm: DISPLAY is not set

YaST 会选择 ncurses 界面而非图形界面。

要在通过 sudo 启动的应用程序中使用 X.Org，需要传播环境变量 DISPLAY 和 XAUTHORITY。要进行此项配置，请创建文件 /etc/sudoers.d/xorg（请参见第 2.2.1 节 “编辑配置文件”）并添加下面一行：

Defaults env_keep += "DISPLAY XAUTHORITY"

如尚未设置 XAUTHORITY 变量，请按如下方式设置：

export XAUTHORITY=~/.Xauthority

现在，X.Org 应用程序便可正常运行：

sudo yast2