2 sudo 基本知識 #

做為一般使用者，您可以在指令前加上 sudo 來以 root 身分執行任何指令。系統會提示您提供 root 密碼。如果驗證成功，便會以 root 身分執行指令：

tux > id -un1
tux
tux > sudo id -un
root's password:2
root
tux > id -un
tux3
tux > sudo id -un
4
root

提示：I/O 重新導向

使用 sudo 時，I/O 重新導向不起作用：

tux > sudo echo s > /proc/sysrq-trigger
bash: /proc/sysrq-trigger: Permission denied
tux > sudo cat < /proc/1/maps
bash: /proc/1/maps: Permission denied

在上面的範例中，只有 echo 和 cat 指令才以提升的特權執行。重新導向將由使用者的外圍程序以使用者特權執行。若要以提升的特權執行重新導向，請如第 2.1.2 節 「啟動外圍程序」中所述啟動外圍程序，或使用 dd 公用程式：

echo s | sudo dd of=/proc/sysrq-trigger
sudo dd if=/proc/1/maps | cat

使用 sudo 來以提升的特權執行指令的做法並不總是可行。雖然可以使用 sudo bash 指令，但還是建議您使用以下其中一種內建機制來啟動外圍程序：

提示：環境變數

sudo 依預設不會傳播環境變數。使用 env_reset 選項會導致行為發生變化，請參閱有用的旗標和選項。

sudo 的主要規則組態檔案為 /etc/sudoers。如果該檔案的格式錯誤，您可能便無法進入系統，因此強烈建議您使用 visudo 來進行編輯。visudo 可以防止發生編輯衝突，並會在儲存修改內容之前檢查語法錯誤。

您可以透過設定 EDITOR 環境變數來使用 vi 以外的另一種編輯器，例如：

sudo EDITOR=/usr/bin/nano visudo

請注意，/etc/sudoers 檔案是由系統套件提供的，直接在該檔案中進行修改可能會中斷更新。因此，建議將自訂組態存入 /etc/sudoers.d/ 目錄下的檔案中。使用以下指令建立或編輯檔案：

sudo visudo -f /etc/sudoers.d/NAME

以下指令使用另一種編輯器 (在本例中為 nano) 開啟檔案：

sudo EDITOR=/usr/bin/nano visudo -f /etc/sudoers.d/NAME

注意：/etc/sudoers.d 中忽略的檔案

/etc/sudoers 中的 #includedir 指令會忽略以 ~ (波狀符號) 字元結尾或包含 . (點) 字元的檔案。

如需 visudo 指令的詳細資訊，請執行 man 8 visudo。

sudoers 組態檔案包含兩種類型的選項：字串和旗標。其中，字串可以包含任何值，旗標可以開啟或關閉。sudoers 組態檔案最重要的語法建構為：

# Everything on a line after # is ignored 1
Defaults !insults # Disable the insults flag 2
Defaults env_keep += "DISPLAY HOME" # Add DISPLAY and HOME to env_keep
tux ALL = NOPASSWD: /usr/bin/frobnicate, PASSWD: /usr/bin/journalctl 3

Defaults 記號還可用於建立使用者、主機和指令三者之集合的別名。除此之外，還可以將某選項僅套用到一組特定的使用者。

如需 /etc/sudoers 組態檔案的詳細資訊，請諮詢 man 5 sudoers。

每個規則都遵循以下規劃 ([] 表示可選部分)：

#Who      Where         As whom      Tag                What
User_List Host_List = [(User_List)] [NOPASSWD:|PASSWD:] Cmnd_List

ALL 可以用作 User_List、Host_List 和 Cmnd_List。

允許 tux 在無需輸入密碼的情況下以 root 身分執行所有指令的規則：

tux ALL = NOPASSWD: ALL

允許 tux 執行 systemctl restart apache2 的規則：

tux ALL = /usr/bin/systemctl restart apache2

允許 tux 在不帶任何引數的情況下以 admin 身分執行 wall 的規則：

tux ALL = (admin) /usr/bin/wall ""

警告：不安全的規則

不要使用不帶 Defaults targetpw 的 ALL ALL = ALL 等規則。否則，任何人都能夠以 root 身分執行指令。

依設計，wheel 群組的成員可以用 root 身分執行所有帶有 sudo 的指令。下面的程序介紹如何將使用者帳戶新增至 wheel 群組。

使用 sudo 啟動圖形應用程式通常會導致以下錯誤：

tux > sudo xterm
xterm: Xt error: Can't open display: %s
xterm: DISPLAY is not set

一種簡單的解決方式是使用 xhost 來暫時允許 root 使用者存取本地使用者的 X 工作階段。可使用以下指令完成此動作：

xhost si:localuser:root

以下指令可移除授予的存取權：

xhost -si:localuser:root

警告：潛在安全問題

以 root 特權執行圖形應用程式存在安全隱患。建議僅在例外的情況下，才啟用對圖形應用程式的 root 存取權。另外，建議在關閉圖形應用程式後，立即撤銷授予的 root 存取權。