Linux系统sudo语法的用法

选项

说明

-h

帮助信息

-V

显示命令版本信息

-A

通常，如果sudo需要密码，它就会从用户终端读取密码。如果指定了-A(Askpass)选项，则执行一个(可能是Graphi cal)帮助程序来读取用户密码并将密码输出到标准输出。如果设置了SUDO_ASKPASS环境变量，则指定助手程序的路径。否则，如果“/etc/sudo.conf”包含了askpass程序的路径，将使用该值。例如：

# Path to askpass helper program

Path askpass /usr/X11R6/bin/ssh-askpass

-b

在后台运行命令。请注意，如果使用-b选项，则不能使用shell作业控件操作进程。大多数交互命令在后台模式下都无法正常工作。

-C fd

通常，sudo将关闭除标准输入、标准输出和标准错误之外的所有打开的文件描述符。“-C”选项允许用户在标准错误(文件描述符3)之上指定起点。不允许值小于3。安全策略可能限制用户使用“-C”选项的能力。sudoers策略仅允许用户只有在开启“closefrom_override”之后，才可以使用“-C”选项

-E

运行时保留用户环境。“-E”选项向安全策略指示用户希望保存他们现有的环境变量。如果指定了“-E”选项，且用户没有保留环境的权限，则安全策略可能返回错误

-e

编辑命令文件，而不是执行命令。当查询安全策略的时候，使用字符串“sudoedit”代替命令。如果用户通过策略认证，有3个步骤需要做：1）产生一个临时的副本；2）运行策略指定的编辑器来编辑临时文件。sudoers策略依次使用环境变量SUDO_EDITOR,、VISUAL 、EDITOR。如果没有设置这三个环境变量，则使用编辑器sudoers(5)选项中列出的第一个程序；3）如果修改了临时文件，则将临时文件复制回原来的位置，并移除临时版本。

如果指定的文件不存在，它将被创建。注意，与sudo运行的大多数命令不同，编辑器是在调用用户的环境中运行的。如果由于某些原因，sudo无法用指定的编辑器更新文件，则用户将收到警告，编辑后的副本将保留在临时文件中。

-g group 

由指定的用户组来执行命令。使用#gid，而不是组名。注意，shell要求使用反斜杠(‘\’)转义‘#’

-H

-H(Home)选项要求安全策略将“HOME”环境变量设置为由密码数据库指定的目标用户的家目录。根据策略，这个选项很可能是默认的。

-i [command]

模拟初始登录。“-i“选项将目标用户的密码数据库条目指定的shell作为登录shell运行。这意味着shell将读取特定于登录的资源文件，如“.profile”或“.login”。如果指定了命令，则通过shell的-c选项将其传递给shell执行。如果未指定命令，则执行交互式shell。sudo试图在运行shell之前更改到该用户的家目录。安全策略应将环境初始化为最小变量集，类似于用户登录时存在的变量集。

-K

删除用户缓存的凭据，不能与命令或其他选项一起使用。此选项不需要密码。并非所有安全策略都支持凭据缓存。

-k [command]

单独使用时，sudo选项可以使用户的缓存凭据无效。下一次运行sudo时，将需要密码。此选项不需要密码，添加该选项是为了允许用户从.logout文件中撤消sudo权限。并非所有安全策略都支持凭据缓存。

当与可能需要密码的命令或选项一起使用时，“-k”选项将导致sudo忽略用户的缓存凭据。因此，sudo将提示输入密码(如果安全策略需要密码)，并且不会更新用户缓存的凭据。

-l[l] [command]

列出用户能执行的命令。如果没有指定命令，则-l(List)选项将列出当前主机上调用用户(或-u选项指定的用户)所允许的命令。如果指定了命令并得到安全策略的允许，则会显示命令的完全路径以及任何命令行参数。如果指定了命令但不允许执行，sudo将退出，状态值为1。如果使用l参数(即-ll)，则使用较长的列表格式。

-n

非交互式，将不提示用户。-n选项防止sudo提示用户输入密码。如果运行命令需要密码，sudo将显示错误消息并退出。

-P

保存组向量。“-P“选项使sudo保持调用用户的组向量不变。默认情况下，sudoers策略将组向量初始化为目标用户所在的组列表。然而，实际有效的组ID仍然被设置为与目标用户匹配。

-p prompt

使用指定的密码提示语句：

%H，扩展为主机名，包括域名；

%h，扩展为主机名，不包括域名；

%p，扩展为请求其密码的用户的名称；

%U，扩展到运行命令的用户的登录名；

%u，扩展到调用用户的登录名；

%%，两个连续的‘%’字符折叠成一个‘%’字符；

-r role

“-r“选项将导致新的安全上下文具有由role指定的角色。

-S 

从标准输入读取密码，而不是终端获取。密码后面必须跟着换行符

-s [command]

如果设置了shell环境变量，则“-s“选项运行由shell环境变量指定的shell，或者运行密码数据库中指定的shell。如果指定了命令，则通过shell的”-c“选项将命令传递给shell执行。如果没有指定命令，则执行交互式shell。

-t type

“-t“选项将导致新的安全上下文的类型，如果没有指定类型，则从指定的角色派生默认类型。

-U user

“-U”选项与“-l”选项一起使用，以列出指定用户的权限。安全策略可能限制列出其他用户的特权。sudoers策略只允许root或当前主机上具有完整特权的用户使用此选项。

-u user

以指定的用户身份执行指令。“-u“选项使sudo以root以外的用户身份运行指定的命令。要指定#uid而不是用户名。当以uid的形式运行命令时，许多shell要求用反斜杠‘\’转义“#”。安全策略可能会将UID限制在密码数据库。sudoers策略允许不存在于密码数据库中的UID，只要没有设置targetpw选项。其他安全策略可能不支持这一点。

-v

当给定-v(验证)选项时，sudo将更新用户的缓存凭据，必要时对用户密码进行身份验证。对于sudoers插件，这会将sudo超时再延长5分钟(或安全策略设置的超时时间)，但不会运行命令

--

这个选项提示，sudo应该停止处理命令行参数

#

# Default /etc/sudo.conf file

#

# Format:

#   Plugin plugin_name plugin_path plugin_options ...

#   Path askpass /path/to/askpass

#   Path noexec /path/to/sudo_noexec.so

#   Debug sudo /var/log/sudo_debug all@warn

#   Set disable_coredump true

#

# The plugin_path is relative to /usr/libexec unless

#   fully qualified.

# The plugin_name corresponds to a global symbol in the plugin

#   that contains the plugin interface structure.

# The plugin_options are optional.

#

Plugin policy_plugin sudoers.so

Plugin io_plugin sudoers.so

Path noexec /usr/libexec/sudo_noexec.so

Path askpass /usr/X11R6/bin/ssh-askpass

子系统

说明

all 

所有的子系统。

args

命令行参数进程。

conv

用户回会话

edit

sudoedit。

exec

命令执行过程。

main

sudo的主函数。

netif

网络接口处理。

pcomm

插件会话

plugin

插件配置。

pty

为tty相关代码。

selinux

SELinux专用处理。

util

实用函数。

utmp 

utmp处理

环境变量

说明

EDITOR

如果没有设置SUDO_EDITOR或VISUAL，则默认编辑器使用”-e”模式。

MAIL

在“-i“模式中或在sudoers中启用env_reset时，将其设置为目标用户的邮件线轴。

HOME

如果指定了“-i“或”-H“，在sudoers中赋值给目标用户的home目录，或者赋值给env_reset或all_set_home。或者当指定”-s“选项时，sudoers中赋值给set_home。

PATH

可能被安全策略覆盖

SEHLL

使用“-s“选项，执行运行的shell

SUDO_ASKPASS

如果没有可用的终端，或者指定了“-A“选项，则指定用于读取密码的辅助程序的路径。

SUDO_COMMAND

赋值给sudo运行的命令

SUDO_EDITOR

“-e“模式下的默认编辑器

SUDO_GID

赋值给调用sudo的用户的组ID

SUDO_PROMPT

作为默认的密码提示语句

SUDO_PS1

如果设置，PS1将被设置为正在运行的程序的值。

SUDO_UID

赋值给调用sudo的用户的ID

SUDO_USER

赋值给调用sudo的用户登录名

USER

赋值给目标用户（默认是root，除非指定“-u“选项）

VISUAL

如果在“-e“模式下没有指定”SUDO_EDITOR“，那么这个就是默认编辑器

[weijie@192 /]$ sudo –l       //当前用户没有权利执行任何sudo指令

[sudo] password for weijie: 

对不起，用户 weijie 不能在 192 上运行 sudo。

You have new mail in /var/spool/mail/root

[root@192 /]# sudo –l       //当前用户是root，因此可以执行所有的sudo指令

匹配此主机上 root 的默认条目：

    requiretty, !visiblepw, always_set_home, env_reset, env_keep="COLORS

    DISPLAY HOSTNAME HISTSIZE INPUTRC KDEDIR LS_COLORS", env_keep+="MAIL PS1

    PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE", env_keep+="LC_COLLATE

    LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY

    LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME LC_ALL

    LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY",

   secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin

用户 root 可以在该主机上运行以下命令：

    (ALL) ALL

[root@192 /]# sudo -u weijie ls /home/david/         //以用户weijie的身份来查看用户david的家目录，很明显是没有权利的

ls: 无法打开目录/home/david/: 权限不够

[root@192 /]# sudo -u weijie ls /home/weijie/       //以用户weijie的身份来查看用户weijie的家目录，这个当然可以

1.zip  mail

[root@192 /]# sudo  ls /home/david/                   //直接查看用户david家目录，由于当前在root环境下，因此完全可以

mail

$ sudo -u yaz ls ~yaz                               //查看用户yaz的家目录

$ sudo -u www vi ~www/htdocs/index.html          //以用户www的身份编辑文件

$ sudo -g adm view /var/log/syslog                //以组adm的身份去查看日志文件，  

$ sudo -u jim -g audio vi ~jim/sound.txt         //要使用不同的主组以Jim的身份运行编辑器

$ sudo shutdown -r +15 "quick reboot"             //关机

$ sudo sh -c "cd /home ; du -s * | sort -rn > USAGE"   //若要对/home分区中的目录进行使用列表，请注意，这将在子shell中运行命令，以使cd和文件重定向工作。