Linux系统中的超级权限的控制

注解：
第一行：定义用户别名SYSADER 下有成员 beinan、linuxsir和beinan用户组下的成员，用户组前面必须加%号；第二行：定义用户别名 DISKADER ，成员有lanhaitun第三行：定义Runas用户，也就是目标用户的别名为OP，下有成员root第四行：定义SYSCMD命令别名，成员之间用,号分隔，最后的!/usr/bin/passwd root 表示不能通过passwd 来更改root密码；第五行：定义命令别名DSKCMD，下有成员parted和fdisk ；第六行： 表示授权SYSADER下的所有成员，在所有可能存在的主机名的主机下运行或禁止 SYDCMD和DSKCMD下定义的命令。更为明确遥说，beinan、linuxsir和beinan用户组下的成员能以root身份运行 chown 、chmod 、adduser、passwd，但不能更改root的密码；也可以以root身份运行 parted和fdisk ，本条规则的等价规则是；

beinan,linuxsir,%beinan ALL=/bin/chown,/bin/chmod,/usr/sbin/adduser,/usr/bin/passwd [A-Za-z]*,!/usr/bin/passwd root,/sbin/parted,/sbin/fdisk

第七行：表示授权DISKADER 下的所有成员，能以OP的身份，来运行 DSKCMD ，不需要密码；更为明确的说 lanhaitun 能以root身份运行 parted和fdisk 命令；其等价规则是：
lanhaitun ALL=(root) /sbin/parted,/sbin/fdisk
可能有的弟兄会说我想不输入用户的密码就能切换到root并运行SYDCMD和DSKCMD 下的命令，那应该把把NOPASSWD:加在哪里为好？理解下面的例子吧，能明白的；

SYSADER ALL= NOPASSWD: SYDCMD, NOPASSWD: DSKCMD

5、/etc/sudoers中其它的未尽事项
在授权规则中，还有 NOEXEC:和EXEC的用法，自己查man sudoers 了解；还有关于在规则中通配符的用法，也是需要了解的。这些内容不多说了，毕竟只是一个入门性的文档。soduers配置文件要多简单就有多简单，要多难就有多难，就看自己的应用了。
6、sudo的用法
我们在前面讲的/etc/sudoers 的规则写法，最终的目的是让用户通过sudo读取配置文件中的规则来实现匹配和授权，以便替换身份来进行命令操作，进而完成在其权限下不可完成的任务；
我们只说最简单的用法；更为详细的请参考man sudo
sudo [参数选项] 命令-l 列出用户在主机上可用的和被禁止的命令；一般配置好/etc/sudoers后，要用这个命令来查看和测试是不是配置正确的；-v 验证用户的时间戳；如果用户运行sudo 后，输入用户的密码后，在短时间内可以不用输入口令来直接进行sudo 操作；用-v 可以跟踪最新的时间戳；-u 指定以以某个用户执行特定操作；-k 删除时间戳，下一个sudo 命令要求用求提供密码；
举例：
首先我们通过visudo 来改/etc/sudoers 文件，加入下面一行；

einan,linuxsir,%beinan ALL=/bin/chown,/bin/chmod,/usr/sbin/adduser,/usr/bin/passwd [A-Za-z]*,!/usr/bin/passwd root,/sbin/parted,/sbin/fdisk

然后列出beinan用户在主机上通过sudo 可以切换用户所能用的命令或被禁止用的命令；
[beinan@localhost ~]$ sudo -l 注：列出用户在主机上能通过切换用户的可用的或被禁止的命令；
Password: 注：在这里输入您的用户密码；

User beinan may run the following commands on this host:(root) /bin/chown

注：可以切换到root下用chown命令；(root) /bin/chmod 注：可以切换到root下用chmod命令；(root) /usr/sbin/adduser 注：可以切换到root下用adduser命令；(root) /usr/bin/passwd [A-Za-z]* 注：可以切换到root下用 passwd 命令；(root) !/usr/bin/passwd root 注：可以切换到root下，但不能执行passwd root 来更改root密码；(root) /sbin/parted 注：可以切换到 root下执行parted ；(root) /sbin/fdisk 注：可以切换到root下执行 fdisk ；
通过上面的sudo -l 列出可用命令后，我想通过chown 命令来改变/opt目录的属主为beinan ；
[beinan@localhost ~]$ ls -ld /opt 注：查看/opt的属主；rwxr-xr-x 26 root root 4096 10月 27 10:09 /opt 注：得到的答案是归属root用户和root用户组；[beinan@localhost ~]$ sudo chown beinan:beinan /opt 注：通过chown 来改变属主为beinan用户和beinan用户组；[beinan@localhost ~]$ ls -ld /opt 注：查看/opt属主是不是已经改变了；drwxr-xr-x 26 beinan beinan 4096 10月 27 10:09 /opt
我们通过上面的例子发现beinan用户能切换到root后执行改变用户口令的passwd命令；但上面的sudo -l 输出又明文写着不能更改root的口令；也就是说除了root的口令，beinan用户不能更改外，其它用户的口令都能更改。下面我们来测试；
对于一个普通用户来说，除了更改自身的口令以外，他不能更改其它用户的口令。但如果换到root身份执行命令，则可以更改其它用户的口令；
比如在系统中有linuxsir这个用户, 我们想尝试更改这个用户的口令，
[beinan@localhost ~]$ passwd linuxsir 注：不通过sudo 直接运行passwd 来更改linuxsir用户的口令；passwd: Only root can specify a user name. 注：失败，提示仅能通过 root来更改；[beinan@localhost ~]$ sudo passwd linuxsir 注：我们通过/etc/sudoers 的定义，让beinan切换到root下执行 passwd 命令来改变linuxsir的口令；Changing password for user linuxsir.New UNIX password: 注：输入新口令；Retype new UNIX password: 注：再输入一次；passwd: all authentication tokens updated successfully. 注：改变成功；
后记：
本文是用户管理的文档的重要组成部份，我计划在明天开始写用户管理控制工具，比如 useradd、userdel、usermod ，也就是管理用户的工具介绍；当然我还会写用户查询工具等与用户管理相关的；