美文网首页
linux下添加用户到sudo组 并禁止sudo用户修改密码

linux下添加用户到sudo组 并禁止sudo用户修改密码

作者: 可可西里的星星 | 来源:发表于2019-07-05 09:54 被阅读0次

[linux下添加用户到sudo组 并禁止sudo用户修改密码]

linux下添加用户到sudo组

创建用户 useradd hanli

为新用户设置密码 passwd hanli

创建用户组 groupadd op

将用户添加到用户组 usermod -G op hanli

查看用户属于哪个组 groups hanli

查看用户组成员 groupmems -g wheel -l (wheel是组名)

查看所有用户组 cat /etc/group cat /etc/gshadow

查看所有用户 cat /etc/passwd cat /etc/shadow

给普通用户添加sudo权限,并且使用时不用输入密码:

直接键入命令visudo(这是Linux提供的修改sudoer的工具,与用vi亲自修改配置文件相比,它提示更多的提示信息的纠错能力), 或者vi /etc/sudoers ,添加如下一行

hanli ALL=(ALL) NOPASSWD: ALL

jorge ALL=(root) /usr/bin/find, /bin/rm

上面的第一栏规定它的适用对象:用户或组,就本例来说,它是用户jorge。此外,因为系统中的组和用户可以重名,要想指定该规则的适用对象是组而非用户的话,组对象的名称一定要用百分号%开头。第二栏指定该规则的适用主机。当我们在多个系统之间部署sudo环境时,这一栏格外有用,这里的ALL代表所有主机。但是,对于桌面系统或不想将sudo部署到多个系统的情况,这一栏就换成相应的主机名。第三栏的值放在括号内,指出第一栏规定的用户能够以何种身份来执行命令。本例中该值设为root,这意味着用户jorge能够以root用户的身份来运行后面列出的命令。该值也可以设成通配符ALL,jorge便能作为系统中的任何用户来执行列出的命令了。最后一栏(即/usr/bin/find,/bin/rm)是使用逗号分开的命令表,这些命令能被第一栏规定的用户以第三栏指出的身份来运行它们。本例中,该配置允许jorge作为超级用户运行/usr/bin/find和 /bin/rm这两个命令。如果配置该用户不能执行某些命令,在命令前加”!”即可,需要指出的是,这里列出的命令一定要使用绝对路径。

如何禁止sudo用户修改密码

root新建用户:

useradd user

passwd user

root 用户在 sudoers文件中添加:

user ALL=/usr/sbin/*,/sbin/*,/usr/bin/*,!/bin/chattr,!/bin/passwd,!/usr/sbin/visudo,!/usr/sbin/useradd,!/usr/sbin/userdel

所有sudo开个头的文件或文件夹添加i属性(不得任意更动文件或目录):

chattr +i /etc/sudo.conf

chattr +i /etc/sudoers

chattr +i /etc/sudoers.d/

chattr +i /etc/sudo-ldap.conf

解锁文件
chattr -i /etc/sudo.conf

chattr -i /etc/sudoers

chattr -i /etc/sudoers.d/

chattr -i /etc/sudo-ldap.conf

相关文章

网友评论

      本文标题:linux下添加用户到sudo组 并禁止sudo用户修改密码

      本文链接:https://www.haomeiwen.com/subject/xhqshctx.html