简述
sudo是linux系统管理指令，是允许系统管理员让普通用户执行一些或者全部的root命令的一个工具，如halt，reboot，su等等。这样不仅减少了root用户的登录 和管理时间，同样也提高了安全性。
visudo
授权配置在/etc/sudoers这个文件中，默认这个文件是只读权限，它有个专门的工具叫visudo，这个命令能不仅能编辑这个配置文件，还能对输入内容做语法检测，如果语法有误，会提示错误位置，并且不会保存到配置文件中，它还能指出语法错误。其实visudo命令相当于：vi /etc/sudoers。
配置文件格式
授权配置格式：
who where=(whom) commands用户 主机=（以谁的身份） commands#用户配置可以是： username #uid %groupname %#gid user_alias#主机配置： ip hostname Netaddr host_alias#commands配置 command #命令要绝对路径指定 cmnd #命令别名，灵活使用能提高效率-----------------------------------在sudo配置中，可能对多个用户配置多个相同命令，这时候可以使用别名来配置。#定义别名的方法：ALIAS_TYPE NAME=item1, item2, item3, ... NAME：别名名称，必须使用全大写字符； ALIAS_TYPE: User_Alias Host_Alias Runas_Alias Cmnd_Alias 例如： User_Alias NETADMIN=tom, jerry Cmnd_Alias NETCMND=ip, ifconfig, route NETADMIN localhost=(root) NETCMND
sudo命令
语法：sudo [option] [COMMAND]常用选项： -k：清除此前缓存用户成功认证结果，即重新输入密码 -l：列出能用的命令
sudo有个验票机制，能记录成功认证结果一段时间，默认为5分钟，
示例：
###新建一个用户one,给它开放所有命令。[root@test2 ~]# visudoone ALL=(ALL) ALL#切换到one用户，可以通过命令：“sudo -l”，列出可用命令[one@test2 ~]$ sudo -l[sudo] password for one: 匹配此主机上 one 的默认条目：...用户 one 可以在该主机上运行以下命令： (ALL) ALL #可以看到此用户可以运行所有命令 但这样有风险，万一用户运行sudo - root呢？这样带来的后果是：只要输入自己用的密码就能登陆root了，所以我们可以在运行所有命令的同时，也同时禁止某些命令[root@test2 ~]# visudo one ALL=(ALL) ALL,!/usr/bin/passwd root #禁止passwd root命令#测试：[one@test2 ~]$ sudo passwd root 对不起，用户 one 无权以 root 的身份在 test2 上执行 /bin/passwd root。在用户配置上，也可以对组来配置，但需要注意，只能指基本组例如：对super组配置sudo权限。先把one用户的配置清除。[root@test2 ~]# visudo#one ALL=(ALL) ALL,!/usr/bin/passwd root, /usr/bin/sudo root[one@test2 ~]$ sudo -l对不起，用户 one 不能在 test2 上运行 sudo。##接下来创建一个用户组super并把临时切换one用户的基本组[root@test2 ~]# groupadd super[root@test2 ~]# usermod -G super one #把one加入super组[root@test2 ~]# id one uid=1001(one) gid=1001(one) 组=1001(one),1011(super)[root@test2 ~]# visudo%super ALL=(root) ALL#切换到one用户[one@test2 ~]$ newgrp super #临时更改基本组[one@test2 ~]$ sudo -l用户 one 可以在该主机上运行以下命令： (root) ALL[one@test2 ~]$ 可以使用别名来更好的管理sudo用户和命令例如：使用命令别名定义一组命令，供有相同属性的用户使用。[root@test2 ~]# visudoCmnd_Alias TEST=/usr/sbin/useradd, /usr/sbin/userdel, /usr/bin/passwd, !/user/bin/passwd root #新建名为TEST的命名别名。#套用在刚刚的super组上%super ALL=(root) TEST[root@test2 ~]# su - one[one@test2 ~]$ sudo -l用户 one 可以在该主机上运行以下命令： (root) /usr/sbin/useradd, /usr/sbin/userdel, /usr/bin/passwd, !/user/bin/passwd root##可以看到，用户one所能使用的命令是我们定义的别名TEST里的命令。#如果嫌每5分钟都需要输入一次密码麻烦的话，可以使用一些标签来过滤掉，常用标签有：NOPASSWD: 无需验证密码PASSWD: 需要验证密码例如，在super中，使用TEST命令别名的命令不需要验证密码，但是使用visudo命令则需要密码。%super ALL=(root) NOPASSWD:TEST ,PASSWD:/usr/sbin/visudo[one@test2 ~]$ sudo -l用户 one 可以在该主机上运行以下命令： (root) NOPASSWD: /usr/sbin/useradd, /usr/sbin/userdel, /usr/bin/passwd, !/user/bin/passwd root, (root) PASSWD: /usr/sbin/visudo[one@test2 ~]$ sudo useradd one1 #创建用户不需要密码[one@test2 ~]$ sudo visudo[sudo] password for one: #visudo需要密码
总结：在生产环境中应该尽量减少使用root用户登录，以免造成不可挽救的后果，在需要管理权限时，临时切换或使用sudo来解决，使用sudo时候，可以使用命令别名或用户别名，能大大提升效率和方便维护。
