sudo（superuser do）是一個在Linux和Unix系統中廣泛使用的命令行程序，它允許授權的用戶以另一個用戶的身份，通常是超級用戶(root)來運行命令，sudo主要特性如下：
- 權限提升：
sudo 命令提升普通用戶的權限，使其能夠執行原本需要更高權限才能運行的命令 - 安全機制：通過
sudo，系統管理員可以安全地委派任務給普通用戶，而無需共享 root 密碼 - 配置文件：通過
/etc/sudoers 控制誰可以通過 sudo 運行哪些命令，以及在哪些條件下可以運行 - 最小權限原則：
sudo 允許用戶僅在需要時獲得執行特定任務所需的權限 - 環境隔離：
sudo 可以在執行時隔離環境變量，避免用戶的環境影響系統命令的執行 - 靈活性：
sudo 提供了極大的靈活性，管理員可以精細控制每個用戶的權限
本例子演示使用centos7.9系統?
首先查看下配置文件/etc/sudoers，使用visudo命令打開：
#不建議使用vim命令打開，因為會提示只讀，還要賦權#使用visudo編輯保存后會自動校驗語法是否正確visudo #直接輸入這個命令即可打開/etc/sudpers文件
上圖中也是系統提示的模版，指定用戶和用戶組可以執行的sudo命令，含義如下：| 參數 | 說明 |
| root | 表示roo用戶 |
| %wheel | 表示wheel用戶組，以%開頭表示組 |
| ALL | 表示從任何主機都可以執行，保持默認即可 |
| (ALL) | 表示任何人都可以以root身份執行命令，此字段可省略 |
| ALL | 所有命令，NOPASSWD表示無需輸入密碼 |
因此，圖中第一行表示root用戶可以在任何主機以任何人身份來執行所有的命令，第2行表示wheel組中的用戶可以在任何主機以任何人身份來執行任何命令，第三行與第二行一樣，只是無需輸入密碼1、下面定義用戶gongguan可以執行的命令，如圖：
上述命令表示用戶gongguan可以在任何主機以任何身份執行useradd和userdel命令，執行未授權的cat /etc/passwd命令就會報錯，執行，并提示輸入gongguan用戶密碼，如圖：
注：配置命令要使用絕對路徑，主要是出于安全考慮，如果用戶創建了一個相同名字的腳本，那么就很可能導致執行錯誤，實際執行的是創建的腳本而不是原始的命令如果執行命令的時候不需要輸入密碼，加上字段NOPASSWD即可，如圖：
1、定義組可執行的命令，注意，組名前面有個%如圖：2、創建tgroup組和三個用戶，并將用戶userone和usertwo加入到組中，如下：groupadd tgroupuseradd -m userone && usermod -a -G tgroup userone useradd -m usertwo && usermod -a -G tgroup usertwouseradd -m userthree
3、切換到userone和usertwo，執行cat命令，如圖：
登錄userthree后無法執行，因此此用戶不在tgroup組中，如圖：
通過別名定義命令
還可以通過Cmnd_Alias來定義別名，別名中填寫命令，別名需要大寫
1、下面創建一個別名COMM1，在其中定義命令，然后在ALL后指定即可，如圖：
設置禁止用戶執行某條命令
1、下圖定義用戶只能創建用戶，但是不能刪除用戶，如圖：
切換到gongguan用戶，執行創建和刪除命令，可以看到刪除失敗，如圖：
修改sudo會話有效期
sudo 默認在輸入一次密碼后 5 分鐘內不會再次要求密碼。5 分鐘后，你會再次被要求輸入密碼，這個有效期可以設置，操作如下：
打開文件/etc/sudoers，找到行：
在這行上面添加如下全局變量，對用戶和組都適用：
Defaults timestamp_timeout=2
閱讀原文：原文鏈接
該文章在 2025/7/1 23:17:35 編輯過
400 186 1886
