sudo是linux下常用的允許普通用戶使用超級用戶權限的工具，允許系統管理員讓普通用戶執行一些或者全部的root命令，如halt，reboot，su等等。這樣不僅減少了root用戶的登陸和管理時間，同樣也提高了安全性。

一、直接修改/etc/sudoers文件的注意事項

1、操作時最好用echo >> 追加，不過cat sed同樣也可以實現（不常用）

2、修改完成后一定記得檢查語法visudo -c

3、確保/etc/sudoers默認的權限是440（防止權限誤用）

4、及時驗證修改的配置是否正確

5、確保知道root密碼，以便普通用戶可以通過sudo su -命令切換

二、sudo的配置文件/etc/sudoers

[root@Centos ~]# cat /etc/sudoers# Sudoers allows particular users to run various commands as## Examples are provided at the bottom of the file for collections## of related commands, which can then be delegated out to particular## users or groups.## This file must be edited with the 'visudo' command.## Host Aliases## Groups of machines. You may prefer to use hostnames (perhaps using## wildcards for entire domains) or IP addresses instead.# Host_Alias     MAILSERVERS = smtp, smtp2## User Aliases## These aren't often necessary, as you can use regular groups## (ie, from files, LDAP, NIS, etc) in this file - just use %groupname## rather than USERALIAS# User_Alias ADMINS = jsmith, mikem

修改時盡量復制系統的格式進行相關修改，防止配置錯誤，難以改正

修改授權某用戶權限成功后，切換到用戶下面，用sudo -l來查看自己擁有哪些權限

[yuw001@Centos ~]$ sudo -l

[sudo] password for yuw001:

User yuw001 may run the following commands on this host:

(root) /bin/ping, /bin/hostname, /usr/bin/free, /sbin/route,

/bin/netstat

使用命令時記得加上sudo

[yuw001@Centos ~]$ hostname  linux

hostname: you must be root to change the host name

[yuw001@Centos ~]$ /bin/hostname linux

hostname: you must be root to change the host name

[yuw001@Centos ~]$ sudo hostname linux

[root@linux ~]#           退出重新登陸后發現主機名修改成功

配置文件一行是一個規則，前面都會用#進行注釋，用‘\’續行（換行）

三、配置文件中規則的分類

1、別名類型

別名類型分為以下幾類

a、Host_Alias(主機別名)

生產環境中一般不會設置主機別名，一般主機別名不太常用

root   ALL=(ALL)       ALL         第一個ALL就是主機別名的應用位置

b、User_Alias（用戶別名）

如果是表示用戶組那么前面要加%

root   ALL=(ALL)       ALL        root就是用戶別名的應用位置

User_Alias ADMINS = jsmith, mikem

c、Runas_Alias別名

此別名是指定“用戶身份”，即 sudo允許切換到的用戶

root    ALL=(ALL)     ALL        第二個(ALL)就是用戶別名的應用位置

Runas_Alias  OP = root

d、Cmnd_Alias(命令別名)

就是定義一個別名，它可以包含一堆命令的內容（一組相關命令的集合）

root    ALL=(ALL)      ALL       第三個ALL就是用戶別名的應用位置

Cmnd_Alias DRIVERS = /sbin/modprobe

說明

用戶別名中的用戶必須是系統真實存在的，書寫時注意空格，用戶別名具有特殊意義，用戶別名必須使用大寫

命令別下的成員必須使用絕對路徑，可以用‘\’換行

2、授權規則

授權規則就是執行的規則，授權中的所有ALL必須大寫

## Allow root to run any commands anywhereroot       ALL=(ALL)       ALL

yumw    ALL=(ALL)       /usr/sbin/useradd,/usr/sbin/userdel###user group sa allow to run commands anywhereyuw  ALL=/usr/sbin*,/sbin*

sa    ALL= /usr/sbin*,/sbin*,!/sbin/fdisk

!表示禁止執行這個命令

[sa@linux ~]$ sudo -l

User sa may run the following commands on this host:

(root) /usr/bin*, (root) /sbin*, (root) !/sbin/fdisk

[sa@linux ~]$ sudo fdisk

Sorry, user sa is not allowed to execute '/sbin/fdisk' as root on linux.

如果將配置做下修改

###user group sa allow to run commands anywhereyuw  ALL=/usr/sbin*,/sbin*

sa    ALL= !/sbin/fdisk,/usr/sbin*,/sbin*

[sa@linux ~]$ sudo -l

User sa may run the following commands on this host:

(root) /usr/bin*, (root) /sbin*, (root) !/sbin/fdisk

[root@linux ~]# su - sa[sa@linux ~]$ sudo fdisk

[sudo] password for sa:

Usage:

fdisk [options] disk    change partition table

fdisk [options] -l disk list partition table(s)

fdisk -s partition      give partition size(s) in blocks

Options:

-b size              sector size (512, 1024, 2048 or 4096)

-c                           switch off DOS-compatible mode

-h                           print help-u size              give sizes in sectors instead of cylinders

-v                           print version

-C number         specify the number of cylinders

-H number         specify the number of heads

-S number         specify the number of sectors per track

所以經測試結果表明，sa ALL= !/sbin/fdisk,/usr/sbin*,/sbin*命令執行的匹配規則是從后到前的，所以后面執行sudo fdisk不會提示權限不足的現像。