运维人员权限分配

admin

用户身份切换

1. 如何在普通用户的情况下，完成日常工作？
   
2. 1）`su` 切换用户，使用普通用户登录，然后使用su命令切换到root。
   
3. 优点：简单，方便
   
4. 缺点：需要知道root密码,不安全，切换到root没有日志审计功能
   
5. 
   
6. 2）`sudo` 提权，当需要使用root权限时，进行提权，而无需切换至root用户。
   
7. 优点：安全，方便
   
8. 缺点：复杂
   
9. su
   
10. -
    
11. -c:不切换用户，使用用户身份执行命令
    
12. 缺点：需要知道root的密码
    
13. 
    
14. sudo
    
15. 当普通用户需要执行root才能执行的命令时，需要提权
    
16. 缺点：配置复杂
    
17. 
    
18. #给予运维人员权限须知：
    
19. · 给予权限可以给所有权限，但是将su，vim，rm命令禁用，su命令禁用是为了避免用户在只知道自己密码的情况进行提权切换用户，这样只需要知道自己的密码也可以切换至root用户，另外也需要禁止root用户通过ssh连接至本机
    
20. 
    
21. visudo  = vim /etc/sudoers
    
22. username ALL=(ALL) ALL
    
23. username ALL=(ALL) ALL,!/bin/su,!/bin/vim,!/bin/vi,!/bin/rm,/bin/ifconfig,/bin/netstat

复制代码

用户身份提权

1. #centos7的提权
   
2. ## sudo 提权
   
3. usermod zls -G wheel
   
4. 
   
5. 1.将用户加入到 sudoers 文件中
   
6. 2.将用户加入到 sudoers 文件中设置的组里
   
7. 
   
8. [root@localhost ~]# visudo
   
9. 1.用户名      2.主机名   3.角色名       4.命令名
   
10. root            ALL=    (ALL)           ALL
    
11. 
    
12. #centos6的提权
    
13. #1.系统安装后就有sudo命令，如果没有sudo命令，可通过如下方式安装
    
14. [root@zls ~]# yum install -y sudo
    
15. 
    
16. #2.使用`visudo`命令编辑sudo配置文件, 相当于 vim /etc/sudoers`配置文件
    
17. [root@zls ~]# visudo  #会对配置进行验证
    
18. zls ALL=(ALL) /bin/rm, /bin/cp  #新增
    
19. 
    
20. #3.配置选项详解
    
21. 1.用户名      2.主机名   3.角色名       4.命令名
    
22. root            ALL=    (ALL)           ALL
    
23. zls      ALL     使用最高角色执行    /bin/rm, /bin/cp #允许使用sudo执行命令
    
24. zls   ALL=(ALL)  NOPASSWD:/bin/cp, /bin/rm   //不需要密码使用rm、cp命令
    
25. 
    
26. #4.使用visudo -c检查配置文件
    
27. [root@zls ~]# visudo  -c
    
28. /etc/sudoers: parsed OK

复制代码

例：#sudo免密码配置选项

1. #1.普通用户执行sudo不需要输入密码配置
   
2. [root@zls ~]# visudo
   
3. zls ALL=(ALL) /bin/rm, /bin/cp  #默认
   
4. zls   ALL=(ALL)  NOPASSWD:/bin/rm, /bin/cp  #修改后
   
5. 
   
6. #2.默认普通用户无权删除
   
7. [zls@zls ~]$ rm -f /root/002
   
8. rm: cannot remove `/root/002': Permission denied
   
9. 
   
10. #3.验证sudo免密码执行权限
    
11. [zls@zls ~]$ sudo rm -f /root/002

复制代码

sudo组配置

1. //如果每增加一个用户需配置一行sudo，这样设置非常麻烦。所以可以进行如下设置
   
2. 
   
3. %zls  ALL=(ALL)     NOPASSWD:/bin/rm, /bin/cp  #新增组
   
4. //group1这个组的所有用户都拥有sudo的权力。接下来只需要将用户加入该组即可。
   
5. 
   
6. //创建用户加入该组
   
7. [root@zls ~]# groupadd zls
   
8. [root@zls ~]# useradd zls1 -g zls
   
9. [root@zls ~]# useradd zls2 -g zls
   
10. 
    
11. //root用户建立目录
    
12. [root@zls ~]# mkdir /root/zls_sudo
    
13. 
    
14. //切换用户并删除测试
    
15. [root@zls ~]# su - zls1
    
16. [zls1@zls ~]$ rm -rf /root/zls_sudo
    
17. rm: cannot remove `/root/zls_sudo': Permission denied
    
18. 
    
19. //使用sudo
    
20. [zls1@zls ~]$ sudo rm -rf /root/zls_sudo

复制代码