Как сделать пользователя sudo
Обновлено: 05.07.2024
Разделение привилегий — одна из основных парадигм безопасности в операционных системах семейства Linux и Unix. Обычные пользователи работают с ограниченными привилегиями и могут влиять только на собственную рабочую среду, но не на операционную систему в целом.
Специальный пользователь с именем root, имеет привилегии суперпользователя. Это административная учетная запись без ограничений, действующих для обычных пользователей. Пользователи могут выполнять команды с привилегиями суперпользователя или root разными способами.
В этой статье мы обсудим, как правильно и безопасно получать привилегии root, и при этом уделим особое внимание редактированию файла /etc/sudoers .
Мы выполним эти действия на сервере Ubuntu 20.04, но данная процедура будет выглядеть примерно так же и на других современных дистрибутивах Linux, таких как Debian и CentOS.
В этом учебном модуле предполагается, что вы уже выполнили начальную настройку сервера, как было описано здесь. Войдите на сервер как обычный пользователь без прав root и выполните описанные ниже действия.
Примечание. В этом учебном модуле подробно рассказывается об эскалации прав и о файле sudoers . Если вы просто хотите предоставить пользователю права sudo , воспользуйтесь нашими краткими учебными модулями Создание нового пользователя с правами Sudo для Ubuntu и CentOS.
Получение привилегий root
Существует три способа получить привилегии root, различающиеся по сложности.
Войдите в систему как пользователь Root
Самый простой и удобный способ получить привилегии root — просто войти на сервер как пользователь root.
Если вы входите на локальный компьютер (или используете консоль для внеполосного подключения к виртуальному серверу), введите root как имя пользователя в строке входа и пароль пользователя root, когда система его запросит.
Если вы используете для входа SSH, укажите имя пользователя root перед IP-адресом или доменным именем в строке подключения SSH:
Если вы не настроили ключи SSH для пользователя root, введите пароль пользователя root по запросу системы.
Использование su для получения прав root
Следующий способ получить привилегии суперпользователя позволяет становиться пользователем root, когда вам это потребуется.
Для этого можно использовать команду su (substitute user) для замены пользователя. Чтобы получить привилегии root, введите:
Вам будет предложено ввести пароль для пользователя root, после чего будет создан сеанс оболочки root.
После завершения задач, для которых требуются привилегии root, вернитесь в обычную оболочку с помощью следующей команды:
Использование sudo для выполнения команд от имени пользователя root
Последний способ получения привилегий root заключается в использовании команды sudo .
Команда sudo позволяет выполнять разовые команды с привилегиями root без необходимости создавать новую оболочку. Она выполняется следующим образом:
В отличие от su , для команды sudo требуется пароль текущего пользователя, а не пароль пользователя root.
В связи с вопросами безопасности доступ sudo не предоставляется пользователям по умолчанию, и его необходимо настроить перед использованием. Ознакомьтесь с нашими краткими руководствами Создание нового пользователя с привилегиями Sudo для Ubuntu и CentOS, чтобы научиться настраивать нового пользователя с правами sudo .
В следующем разделе мы более подробно расскажем о том, как изменять конфигурацию sudo .
Что такое Visudo?
Команда sudo настраивается с помощью файла, расположенного в каталоге /etc/sudoers .
Предупреждение. Никогда не редактируйте этот файл в обычном текстовом редакторе! Всегда используйте для этой цели только команду visudo !
Неправильный синтаксис файла /etc/sudoers может нарушить работу системы и сделать невозможным получение повышенного уровня привилегий, и поэтому очень важно использовать для его редактирования команду visudo .
Команда visudo открывает текстовый редактор обычным образом, но проверяет синтаксис файла при его сохранении. Это не даст ошибкам конфигурации возможности блокировать операции sudo , что может быть единственным способом получить привилегии root.
Обычно visudo открывает файл /etc/sudoers в текстовом редакторе vi . Однако в Ubuntu команда visudo настроена на использование текстового редактора nano .
Если вы захотите изменить его обратно на vi , используйте следующую команду:
Выберите число, соответствующее желаемому варианту выбора.
В CentOS для изменения этого значения можно добавить следующую строку в ~/.bashrc :
Исходный файл для внесения изменений:
После настройки visudo выполните эту команду для доступа к файлу /etc/sudoers :
Изменение файла Sudoers
Файл /etc/sudoers откроется в выбранном вами текстовом редакторе.
Я скопировал и вставил файл с сервера Ubuntu 18.04 с удаленными комментариями. Файл CentOS /etc/sudoers содержит намного больше строк, и некоторые из них не будут обсуждаться в этом руководстве.
Давайте посмотрим, что делают эти строки.
Строки по умолчанию
Первая строка Defaults env_reset сбрасывает среду терминала для удаления переменных пользователя. Эта мера безопасности используется для сброса потенциально опасных переменных среды в сеансе sudo .
Вторая строка, Defaults mail_badpass , предписывает системе отправлять уведомления о неудачных попытках ввода пароля sudo для настроенного пользователя mailto . По умолчанию это учетная запись root.
Третья строка, начинающаяся с “Defaults secure_path=…”, задает переменную PATH (места в файловой системе, где операционная система будет искать приложения), которая будет использоваться для операций sudo . Это предотвращает использование пользовательских путей, которые могут быть вредоносными.
Строки пользовательских привилегий
Четвертая строка, которая определяет для пользователя root привилегии sudo , отличается от предыдущих строк. Давайте посмотрим, что означают различные поля:
root ALL=(ALL:ALL) ALL Первое поле показывает имя пользователя, которое правило будет применять к (root).
root ALL =(ALL:ALL) ALL Первое “ALL” означает, что данное правило применяется ко всем хостам.
root ALL=( ALL :ALL) ALL Данное “ALL” означает, что пользователь root может запускать команды от лица всех пользователей.
root ALL=(ALL: ALL ) ALL Данное “ALL” означает, что пользователь root может запускать команды от лица всех групп.
root ALL=(ALL:ALL) ALL Последнее “ALL” означает, что данные правила применяются всем командам.
Это означает, что наш пользователь root сможет выполнять любые команды с помощью sudo после ввода пароля.
Строки групповых привилегий
Следующие две строки похожи на строки привилегий пользователя, но задают правила sudo для групп.
Имена, начинающиеся с % , означают названия групп.
Здесь мы видим, что группа admin может выполнять любые команды от имени любого пользователя на любом хосте. Группа sudo имеет те же привилегии, но может выполнять команды от лица любой группы.
Строка Included /etc/sudoers.d
Последняя строка выглядит как комментарий:
Файлы в этом каталоге следуют тем же правилам, что и сам файл /etc/sudoers . Любой файл, который не заканчивается на ~ и не содержит символа . , также считывается и добавляется в конфигурацию sudo .
В основном это нужно, чтобы приложения могли изменять привилегии sudo после установки. Размещение всех правил в одном файле в каталоге /etc/sudoers.d позволяет видеть, какие привилегии присвоены определенным учетным записям, а также легко сменять учетные данные без прямого изменения файла /etc/sudoers .
Как и в случае с файлом /etc/sudoers , другие файлы в каталоге /etc/sudoers.d также следует редактировать с помощью команды visudo . Для редактирования этих файлов применяется следующий синтаксис:
Присвоение пользователю привилегий Sudo
Чаще всего при управлении разрешениями sudo используется операция предоставления новому пользователю общего доступа sudo . Это полезно, если вы хотите предоставить учетной записи полный административный доступ к системе.
В системе с группой администрирования общего назначения, такой как система Ubuntu в этом учебном модуле, проще всего будет добавить данного пользователя в эту группу.
Например, в Ubuntu 20.04 группа sudo имеет полные привилегии администратора. Добавляя пользователя в эту группу, мы предоставляем ему такие же привилегии:
Также можно использовать команду gpasswd :
Обе команды выполняют одно и то же.
В CentOS эта группа обычно называется wheel , а не sudo :
Также можно использовать gpasswd :
Если в CentOS добавление пользователя в группу не срабатывает сразу же, вам может потребоваться отредактировать файл /etc/sudoers , чтобы убрать символ комментария перед именем группы:
Настройка персонализированных правил
Мы познакомились с общим синтаксисом файла, а теперь попробуем создать новые правила.
Создание псевдонимов
Файл sudoers можно организовать более эффективно, группируя элементы с помощью разнообразных псевдонимов.
Например, мы можем создать три разных группы пользователей с некоторыми общими участниками:
Имена групп должны начинаться с заглавной буквы. Затем мы можем дать участникам группы GROUPTWO разрешение на обновление базы данных apt , создав следующее правило:
Если мы не укажем пользователя или группу для запуска, команда sudo по умолчанию использует пользователя root.
Мы можем дать членам группы GROUPTHREE разрешение на выключение и перезагрузку системы, создав псевдоним команды и используя его в правиле для GROUPTHREE :
Мы создадим псевдоним команды с именем POWER , который будет содержать команды выключения и перезагрузки системы. Затем мы дадим членам группы GROUPTHREE разрешение на выполнение этих команд.
Также мы можем создать псевдонимы запуска от имени, которые могут заменять часть правила, где указывается, от имени какого пользователя следует выполнить команду:
Это позволит любому участнику группы GROUPONE выполнять команды от имени пользователя www-data или пользователя apache .
Необходимо помнить, что в случае конфликта правил более поздние правила имеют приоритет перед более ранними.
Фиксация правил
Есть ряд способов, которые позволяют более точно контролировать реакцию sudo на вызов.
Команда updatedb , связанная с пакетом mlocate , относительно безобидна при ее выполнении в системе с одним пользователем. Если мы хотим разрешить пользователям выполнять ее с привилегиями root без ввода пароля, мы можем создать правило следующего вида:
NOPASSWD — это свойство, означающее, что пароль не запрашивается. У него есть сопутствующее свойство PASSWD , которое используется по умолчанию и требует ввода пароля. Данное свойство актуальной для остальной части строки, если его действие не переопределяется дублирующим тегом в этой же строке.
Например, мы можем использовать следующую строку:
Также полезно свойство NOEXEC , которое можно использовать для предотвращения опасного поведения некоторых программ.
Например, некоторые программы, такие как less , могут активировать другие команды, вводя их через свой интерфейс:
При этом все команды пользователя выполняются с теми же разрешениями, что и команда less , что может быть довольно опасно.
Чтобы ограничить такое поведение, мы можем использовать следующую строку:
Прочая информация
При работе с sudo может быть полезна следующая информация.
Если вы зададите в файле конфигурации пользователя или группу, от имени которых выполняются команды, вы можете выполнять команды от их имени, используя флаги -u и -g соответственно:
Для удобства sudo по умолчанию сохраняет данные аутентификации в течение определенного количества времени на одном терминале. Это означает, что вам не нужно будет вводить пароль снова, пока это время не истечет.
Если в целях безопасности вы захотите сбросить этот таймер после выполнения административных команд, вы можете использовать для этого следующую команду:
Если вы захотите активировать команду sudo так, чтобы не вводить пароль и не продлевать срок действия прав sudo , вы можете ввести:
Вам будет предложено ввести пароль, который будет сохранен для последующего использования sudo до истечения заданного периода действия sudo .
Если вы хотите узнать, какие привилегии заданы для вашего имени пользователя, введите команду:
Она выведет все правила в файле /etc/sudoers , которые относятся к вашему пользователю. Это поможет вам понять, что вам можно делать с помощью sudo от имени любого пользователя.
У вас несомненно будут случаи, когда запущенная команда не будет выполняться, потому что вы забудете добавить префикс sudo . Чтобы не вводить команду повторно, вы можете воспользоваться функцией bash, позволяющей повторить последнюю команду:
Двойной восклицательный знак повторяет последнюю команду. Мы ставим перед ним префикс sudo , чтобы быстро задать соответствующие права для последней команды.
При желании вы можете добавить следующую строку в файл /etc/sudoers с помощью visudo :
После этого sudo будет ругаться, если пользователь введет неправильный пароль для sudo . Мы можем использовать sudo -k , чтобы очистить предыдущий сохраненный в кэше пароль sudo и попробовать эту функцию:
Заключение
Теперь вы понимаете, как читать и редактировать файл sudoers и знаете, какие методы вы можете использовать для получения привилегий root.
Помните, что есть причины, по которым обычным пользователям не предоставляются привилегии суперпользователя. Очень важно точно понимать, что делает каждая команда, которую вы выполняете с правами root. Будьте ответственны. Определите оптимальный способ использования этих инструментов в вашей ситуации и заблокируйте все функции, которые не нужны.
Одним из самых важных моментов при изучении любой системы является то, как получить права суперпользователя. Как делать то, что не могут обычные смертные? Как раз для этого и существует команда sudo. С помощью нее вы можете делать в системе все что угодно – запускать любые приложения, читать любые файлы и т.д. Но для этого у вас должны быть права на пользование этой командой.
Существует два способа добавления пользователя в sudoers. Рассмотрим первый, наиболее популярный. А именно, с помощью sudoers файла, который находится по адресу /etc/sudoers.
1. Войдите под рутом. Введите команду su и пароль рута:
2. Откройте на редактирование sudoers файл (я использую vi, вы можете любой другой редактор):
3. Добавьте строчку, которая выделена жирным, заменив sergey на имя вашего пользователя:
4. Сохрание sudoers файл, выйдите из-под рута.
Теперь вы можете использовать команду sudo, например:
Далее введя пароль своего пользователя, вы открываете файл как бы из под рута, т.е. на выполнение этой команды вам дают супер привилегии.
Теперь давайте рассмотрим различные полезные функции команды sudo.
Заставить sudo спрашивать пароль каждый раз
По умолчанию, при запуске sudo ваш пароль запоминается на 15 минут. И если в течение этого времени вы вводите sudo еще раз, то пароль не спрашивается. Но иногда бывает полезно отключать эту функцию. Например, вы запускаете какую-то команду для друга и хотите чтобы сразу после этого sudo забыл введенный пароль. Для этого используйте параметр -k:
Полностью отключить запоминание пароля
Для этого вы можете открыть /etc/sudoers и добавить туда параметр timestamp_timeout=0:
Также вы можете менять время запоминания пароля sudo, указывая timestamp_timeout, например timestamp_timeout=5, что соответствует 5 минутам.
Никогда не спрашивать пароль sudo
Для этого откройте файл /etc/sudoers и измените строчку для нужного пользователя, добавив параметр NOPASSWD:
Теперь при вводе команды sudo пользователем sergey пароль не будет спрашиваться никогда.
Разрешить только определенные команды sudo
Для этого откройте sudoers файл и измените строчку для конкретного пользователя, перечисляя через запятую команды, которые он может запускать:
Еще один способ получения прав на запуск sudo
В начале статьи я написал, что существует два способа добавления пользователя в sudoers. Первый мы уже рассмотрели – это редактирование sudoers файла и добавления туда строчек для разных пользователей. Второй способ – вы можете просто добавить вашего пользователя в группу sudo, для этого вам понадобятся права рута:
Однако, “групповые” изменения вступят в силу только после перезагрузки, либо после повторного входа в систему.
В заключение, для закрепления материала предлагаю посмотреть данное видео.
В этой статье будет показано как создать нового пользователя в Ubuntu и наделить его правами суперпользователя, чтобы можно было использовать его аккаунт для администрирования системы без необходимости логиниться под рутом.
Создание sudo-пользователя
Для создания нового пользователя нужно следовать нижеприведенной инструкции с самого начала. Для наделения sudo-правами уже имеющегося пользователя нужно пропустить первые 2 шага.
- Подключаемся к своему Ubuntu-серверу по SSH:
- Создаем новый аккаунт пользователя при помощи команды adduser:
Система предложит придумать и дважды ввести пароль для нового пользователя. После чего в консоли появятся следующие строки:
Для нового пользователя будет создана директория /home/ и скопированы файлы конфигурации. После этого будет предложено ввести информацию о пользователе:
Проверка наличия sudo-полномочий
Переключаемся на созданного в вышеописанных шагах пользователя:
Используем команду sudo для запуска команды whoami:
Если у пользователя есть sudo-полномочия, то ответ будет root:
Как использовать sudo
Для выполнения команды с правами администратора перед ней просто добавляется префикс sudo:
При первом использовании sudo-полномочий во время текущей рабочей сессии система попросит ввести пароль пользователя:
При последующих запусках sudo-команд в течение той же рабочей сессии ввод пароля уже не потребуется.
Заключение
При помощи простых описанных выше действий можно создать в Ubuntu пользователя с привилегиями администратора. Под этим пользователем можно логиниться на свой Ubuntu-сервер и использовать sudo для выполнения административных команд.
Судя по вопросам пользователей многие получив новый VDS сервер продолжают пользоваться присланными идентификационными данными, а зачастую работают под root. Конечно можно и так, но не рекомендуется.
Лучше сразу-же создайте нового пользователя:
Добавьте его в группу sudo:
Затем добавьте полные root-права пользователю в файле sudoers. Для этого вызывается команда:
после чего в редакторе, установленном по умолчанию открывается что-то типа этого:
И после строки root ALL=(ALL:ALL) ALL добавляем:
Вместо user_name везде, естественно, используем реальной имя пользователя.
Присланные root пароль нужно сразу же поменять, запретить их использование в ssh и перейти на авторизацию по ssl.
Добавить в избранное
К оманда Sudo позволяет обычным пользователям запускать программы, которые доступны только для суперпользователя. На этом уроке мы покажем вам, как создать пользователя системы и управлять своими привилегиями Sudo на Linux – VPS под управлением Ubuntu 16.04 в качестве операционной системы.
Прежде всего, подключитесь к серверу Linux с помощью SSH и добавьте нового пользователя системы:
Вы можете заменить newuser на любое понравившееся имя системного пользователя. Вам нужно будет ввести пароль для нового пользователя, а также вам нужно будет ввести некоторую информацию о пользователе. Вы можете создать надежный пароль с помощью командной строки.
Добавить привилегии пользователя Sudo системы в Linux
После того, как пользователь системы будет создан идите вперед и добавьте его в группу sudo , используя следующую команду:
Затем используйте команду su, чтобы перейти на нового пользователя:
Теперь вы можете попробовать запустить какую – либо команду или программу, которая доступна только для суперпользователя. Например, попробуйте обновить индекс пакетов и установить новые версии всех пакетов, установленных в данный момент на сервере.
Это означает, что вам нужно будет установить программу Sudo для того, чтобы быть в состоянии выполнить эту команду. Переключитесь на суперпользователя и выполните следующую команду:
Вы можете убедиться в том, что он успешно установлен с помощью этой команды:
Выdод должен быть аналогичен приведенному ниже:
Удалить привилегии Sudo для пользователя системы в Linux
В некоторых случаях вы можете захотеть удалить привилегии Sudo для конкретного пользователя системы. Для этой цели можно использовать следующую команду:
PS. Если вам понравился этот пост, можете поделится им с друзьями в социальных сетях с помощью кнопок ниже или оставить ответ в разделе комментариев.
Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.
Читайте также: