目录

• 一、sudo 的核心概念
  • 二、sudo 常用命令
  • 三、sudo 工作原理
  • 四、配置 sudo 权限（关键步骤）
  • 五、sudoers 文件语法详解
  • 六、安全最佳实践
  • 七、故障排查

---

参考

• 链接1：Linux-在centos7中为普通用户配置sudo认证 (opens new window)
• 链接2：Centos7增加新用户并授予sudo权限 (opens new window)
• 链接3：04 CentOS 7：su&sudo详解 (opens new window)
• 链接4：CentOS 7 配置 Sudo (opens new window)
• 链接5：centos 7.8 sudo的使用 (opens new window)
• 链接6：Linux系统（CentOS7）之sudo命令的使用 (opens new window)

---

CentOS配置：权限委派【sudo】

以下为基于给定参考链接及CentOS系统特性的sudo详解，涵盖概念、工作原理、配置方法与安全实践：

---

一、sudo 的核心概念

1. 定义 sudo（SuperUser Do）允许授权用户以其他用户（默认为root）的身份执行命令，无需切换用户身份。 优势：

   • 避免共享root密码（链接2、5）
   • 提供细粒度权限控制（链接3、4）
   • 所有操作可审计（链接3）

2. 与su的区别

   sudo的本质是权限委派机制，与su的完全切换有本质区别：

   特性	su	sudo
   身份切换	完全切换到目标用户	临时以目标用户权限执行命令
   密码要求	需目标用户密码（如root）	需当前用户密码
   权限控制	无细粒度控制	可精确控制命令范围
   审计日志	无详细记录	记录所有sudo操作
   环境变量	默认不加载用户环境	默认保留当前环境（链接3）

---

二、sudo 常用命令

sudo 常用命令选项

命令	作用
sudo -l	列出当前用户可执行的sudo命令
sudo -u username [cmd]	以指定用户身份执行命令
sudo -i	切换到root环境（加载.profile）
sudo -s	启动root的shell但不切换环境

sudo 常用命令速查表

# ===== 基础提权 =====
sudo <command>          # 以 root 身份执行命令 (e.g. sudo apt update)
sudo -u <user> <command> # 以指定用户执行 (e.g. sudo -u mysql mysqldump)
sudo !!                 # 以 root 重复上条命令

# ===== 环境控制 =====
sudo -i                 # 切换到 root 登录 Shell (加载 ~/.bashrc)
sudo -s                 # 启动 root Shell (不加载环境变量)
sudo -E <command>       # 保留当前环境变量执行
sudo -H <command>       # 设置 $HOME 为 root 家目录

# ===== 权限管理 =====
sudo -l                 # 列出当前用户可用 sudo 命令
sudo -l -U <user>       # 查看指定用户的 sudo 权限
sudo -v                 # 刷新密码缓存 (延长超时)
sudo -k                 # 清除密码缓存 (强制重新输入)

# ===== 高级操作 =====
sudo -n <command>       # 非交互模式执行 (脚本中使用)
sudo -b <command>       # 后台执行命令
sudoedit <file>         # 安全编辑受保护文件

# ===== 组合用法 =====
sudo -iu <user>         # 登录到指定用户的 Shell (e.g. sudo -iu oracle)
sudo sh -c 'cmd1; cmd2' # 执行多条命令 (e.g. sudo sh -c 'apt update && apt upgrade')

---

三、sudo 工作原理

1. 执行流程（链接2）
   • 用户输入sudo [命令]
   • 系统检查/etc/sudoers文件，验证用户是否有权限
   • 验证通过后，提示输入当前用户密码（配置免密则跳过）
   • 密码正确后以目标身份执行命令，完成后返回原用户
2. 免密码场景（链接2、4）
   • 配置NOPASSWD标签（如：username ALL=(ALL) NOPASSWD:ALL）
   • root用户执行sudo
   • 切换身份与执行者身份相同

---

四、配置 sudo 权限（关键步骤）

方法1：使用visudo（推荐）

# 以root执行
visudo

• 安全机制：
  • 自动锁定文件防止并发编辑
  • 退出时语法检查，错误配置不会保存（链接2、3）

方法2：直接编辑/etc/sudoers（不推荐）

chmod u+w /etc/sudoers  # 临时赋予写权限
vim /etc/sudoers
chmod u-w /etc/sudoers  # 恢复只读权限

风险：语法错误可能导致所有sudo权限失效（链接3、6）。

---

五、sudoers 文件语法详解

1. 基础授权格式

   用户/组  主机=(可切换身份)  授权命令 [标签]
   

   • 示例1：允许用户tom执行所有命令（需密码）

     tom  ALL=(ALL)  ALL
     

   • 示例2：允许dev-group组成员免密重启Nginx

     %dev-group  ALL=(root)  NOPASSWD: /usr/sbin/nginx, /usr/bin/systemctl restart nginx
     

2. 特殊符号与标签

   • %前缀：表示用户组（如%wheel）
   • NOPASSWD：免密码执行（链接4）
   • 命令路径需用绝对路径（链接6）
   • 多命令用逗号分隔（链接4、6）

---

六、安全最佳实践

1. 最小权限原则

   • 避免使用ALL=(ALL) ALL，精确授权所需命令（链接6） 示例：仅允许管理用户账户

   operator ALL=(root) /usr/sbin/useradd, /usr/sbin/userdel
   

2. 启用wheel组 CentOS默认允许wheel组成员使用sudo（链接4）：

   %wheel  ALL=(ALL)  ALL
   

   将用户加入wheel组：

   usermod -aG wheel username
   

3. 免密码配置需谨慎 仅对低风险命令或受信任环境使用NOPASSWD（链接2、4）。

4. 定期审计日志 sudo操作记录在/var/log/secure，监控异常行为（链接3）。

---

七、故障排查

• 错误：username is not in the sudoers file ​解决​：检查用户/组是否在/etc/sudoers中正确配置。
• 错误：Sorry, try again ​解决​：密码错误或超出5分钟超时（链接5）。

---

总结： sudo是CentOS权限管理的核心工具，通过visudo安全配置、遵循最小授权原则、结合审计日志，可实现灵活且安全的权限控制。避免直接使用root账户，是提升系统安全性的关键举措。