本文将比较非 root 用户提权为 root 用户的两个 Linux 命令 的区别。

su 和 sudo 命令都允许用户执行非特权用户不允许做的系统管理任务，即只有 root 用户能执行的命令。有些人更喜欢 sudo 命令：例如 Seth Kenlon 最近发布的一篇 《在 Linux 上使用 sudo 的 5 个理由》，他在其中详细阐述了 sudo 命令的许多优点。

但是，相较于 sudo 命令，我更偏好于 su 命令 来做系统管理工作。在本文中，我比较了这两个命令的区别，并解释了为什么我更喜欢 su 而不是 sudo，但我仍然同时使用这两个命令的原因。

过去的系统管理员主要使用 su 命令

su 和 sudo 命令是为不同的世界设计的。早期的 Unix 计算机需要全职系统管理员，他们使用 root 用户作为唯一的管理帐户。在这个古老的世界里，有管理员密码的人会在电传打字机或 CRT 终端（例如 DEC VT100）上以 root 用户登录，然后执行一些管理 Unix 计算机的工作。

管理员还会有一些非 root 帐户，用于执行一些非 root 的任务，例如编写文档和管理电子邮件等。在这些 Unix 计算机上通常有许多非 root 帐户，他们都不需要完全的 root 访问权限，只需要以 root 权限运行很少的命令，大约 1 至 2 个就可以了。许多系统管理员以 root 用户登录，完成 root 工作，并在任务完成后，退出 root 会话。有时候，系统管理员需要整天以 root 用户来登录，因为 sudo 命令需要键入更多的内容才能运行必要的命令，因此大多数系统管理员很少使用 sudo 命令。

sudo 和 su 这两个命令都能够提权为 root 用户，但它们实现的方式大不相同。这种差异是由于它们最初打算用于不同的情况。

sudo 命令

sudo 命令的初衷是让 root 用户能够让几个非 root 用户访问他们经常需要的一两个特权命令。sudo 命令允许非 root 用户暂时地获得更高权限，来执行一些特权命令，例如添加和删除用户、删除属于其他用户的文件、安装新软件以及管理现代 Linux 主机所需的任何命令。

sudo 命令允许非 root 用户访问一两个 需要更高权限 的常用命令，这样可以帮助系统管理员节省来自用户的许多请求，并减少等待时间。sudo 命令不会将用户帐户切换为 root 用户，因为大多数非 root 用户永远不应该拥有完全的 root 访问权限。在大多数情况下，sudo 允许用户执行一两个命令，然后提权就会过期。在这个通常为 5 分钟的短暂的提权时间内，用户可以执行任何需要提权的管理命令。需要继续使用提权的用户可以运行 sudo -v 命令来重新验证 root 访问权限，并将提权时间再延长 5 分钟。

使用 sudo 命令还有一些副作用，例如生成非 root 用户使用命令的日志条目及其 ID。这些日志可以在之后作为出现问题的检验，来给用户更多的操作培训。（你以为我会说“问责”用户，对吧？）

su 命令

su 命令能够将非 root 用户提权到 root 权限 —— 事实上，能让非 root 用户成为 root 用户。唯一的要求是用户知道 root 密码。因为用户已经以 root 权限登录，所以之后的操作就没有限制了。

su 命令所提供的提权没有时间限制。用户可以作为 root 执行命令，不需要进行重新验证是否有 root 权限。完成任务后，用户可以执行退出命令 exit，从 root 用户恢复到自己原来的非 root 帐户。

su 和 sudo 在使用上的争议和变化

最近在 su 与 sudo 的使用上存在一些分歧。

真正的系统管理员不会使用 sudo。—— Paul Venezia

Venezia 在他的 InfoWorld 文章 中辩称，对于许多担任系统管理员的人来说，sudo 是一个不必要的工具。他没有花太多时间为这个观点进行解释，他只是把它说成了一个事实。我同意他对于系统管理员的观点，因为我们不需要 sudo 来完成我们的工作。事实上，sudo 使得事情变得更复杂了。

然而，

时代在“改变”。—— Bob Dylan

Bob Dylan 是对的，尽管他唱的歌不是指计算机（LCTT 译注：Bob Dylan 是美国创作歌手、艺术家和作家，这里指他不是针对于电脑而说的）。

自从人手一台的个人计算机时代到来，计算机的管理方式发生了重大变化。在许多环境中，计算机的使用者也是它的管理员，这使得为这些用户提供一些对 root 权限的访问是有必要的。

一些现代发行版，例如 Ubuntu 及其衍生版本，只能使用 sudo 命令来执行特权命令。在这些发行版中，用户无法直接以 root 用户身份登录，甚至无法通过 su 切换到 root，因此需要 sudo 命令来允许非 root 用户获得 root 权限。在这一环境中，所有系统管理任务均使用 sudo 来执行。

通过锁定 root 帐户并将常规用户帐户添加到“轮子”组（wheel），可以实现此配置，但是这种配置很容易被绕过。接下来，让我们在 Ubuntu 主机或虚拟机上尝试一些小实验吧。我在这里说明一些我的设置，以便你可以根据需要来重现它。我安装的是 Ubuntu 16.04 LTS1，并使用 VirtualBox 将其安装在虚拟机中。在安装过程中，我创建了一个非 root 用户 student，为了简便起见我给这个用户设置了一个简单的密码。

以 student 用户身份登录 Ubuntu，并打开终端。查看 /etc/shadow 文件中的 root 条目，其中存储了经哈希的密码。

student@ubuntu1:~$ cat /etc/shadow
cat: /etc/shadow: Permission denied

可以看到终端拒绝了我们对 /etc/shadow 的访问，因此我们无法查看 /etc/shadow 文件。所有发行版都是如此，以防止非特权用户看到和访问加密的密码，因为非特权用户可能会使用常见的黑客工具来破解这些密码。

现在，让我们使用 su - 命令来成为 root 用户。

student@ubuntu1:~$ su -
Password: <Enter root password – but there isn't one>
su: Authentication failure

认证失败的原因是因为 root 帐户没有密码、并且被锁定了。接下来，使用 sudo 命令查看 /etc/shadow 文件。

student@ubuntu1:~$ sudo cat /etc/shadow
[sudo] password for student: <enter the student password>
root:!:17595:0:99999:7:::
<截取>
student:$6$tUB/y2dt$A5ML1UEdcL4tsGMiq3KOwfMkbtk3WecMroKN/:17597:0:99999:7:::
<截取>

在这里，我仅截取了部分结果，只显示 root 和 student 用户的条目。我还缩短了加密密码，以便该条目能显示在一行中。各个字段以冒号（:）分隔，第二个字段是密码。请注意，root 的密码字段是一个感叹号（!），这表明 root 帐户已被锁定，且无法使用。

现在，要将 root 帐户变成一个合适的系统管理员，你只需为 root 帐户设置密码。

student@ubuntu1:~$ sudo su -
[sudo] password for student: <Enter password for student>
root@ubuntu1:~# passwd root
Enter new UNIX password: <Enter new root password>
Retype new UNIX password: <Re-enter new root password>
passwd: password updated successfully
root@ubuntu1:~#

现在，你可以直接以 root 身份登录到控制台，或者直接使用 su 登录到 root，而不是在每个命令前都加一个 sudo。当然，你也可以在每次想以 root 身份登录时，使用 sudo su -，但这又是何必呢？

请不要误解我的意思。像 Ubuntu 这样的发行版及其上下游衍生版非常好，多年来我已经使用了其中的几个。在使用 Ubuntu 和相关发行版时，我做的第一件事就是设置一个 root 密码，这样我就可以直接以 root 身份登录。其他发行版，如 Fedora 及其相关发行版，现在在安装过程中提供了一些有趣的选择。我注意到的第一个 Fedora 版本是 Fedora 34，我在写我的一本即将出版的书时安装了很多次。

在安装页面上，可以找到其中一个安装选项，来设置 root 密码。这个新选项允许用户选择“ 锁定 root 帐户 Lock root account ”，就像 Ubuntu 锁定 root 帐户的方式一样。此页面上还有一个选项，允许使用密码以 root 身份远程 SSH 登录到此主机，但这仅在 root 帐户解锁时有效。第二个选项位于允许创建非 root 帐户的页面上。此页面上的选项之一是“ 让此用户成为管理员 Make this user administrator ”。选中此选项后，用户 ID 将添加到一个名为 wheel 组的特殊组中，该组授权该组的成员使用 sudo 命令。Fedora 36 甚至在该复选框的描述中提到了 wheel 组。

可以将多个非 root 用户设置为管理员。使用此方法指定为管理员的任何人都可以使用 sudo 命令在 Linux 计算机上执行所有管理任务。Linux 在安装时只允许创建一个非 root 用户，所以其他新用户可以在创建时添加到 wheel 组中。root 用户或其他管理员可以使用文本编辑器或 usermod 命令直接将现有用户添加到 wheel 组。

在大多数情况下，今天的管理员只需要执行一些基本任务，例如添加新的打印机、安装更新或新软件，或者删除不再需要的软件。这些 GUI 工具需要 root 或管理密码，并将接受来自管理员用户的密码。

在 Linux 上，我是怎么使用 su 和 sudo 的呢

我同时使用 su 和 sudo。它们都是我所使用的很重要的系统管理员工具。

我不锁定 root 帐户，因为我需要用 root 帐户来运行我的 Ansible 脚本和我编写的 rsbu Bash 程序，来执行备份。这两个程序都需要以 root 身份运行，我编写的其他几个管理 Bash 的脚本也是如此。我使用 su 命令切换到 root 用户，这样我就可以执行这些脚本和许多其他常见的命令。当我需要确定问题和解决问题时，使用 su 命令将我的权限提升到 root 十分有用，因为我不希望 sudo 带来的提权会话超时。

当非 root 用户需要执行这些任务时，我使用 sudo 命令，来执行需要 root 权限的任务。我在 sudoers 文件中设置了非 root 帐户，只允许访问完成任务所需的一两个命令。当我只需要运行一两个需要提权的快速命令时，我自己也会使用 sudo 命令。

结论

实际上只要你把工作完成好了，你使用什么工具都无大碍。你使用的是 Vim 还是 Emacs，是 systemd 还是 SystemV，是 RPM 亦或是 DEB，是 sudo 亦或是 su，在结果上会有什么区别呢？这里的关键在于你应该使用最适合你的工具。Linux 和开源软件的最大优势之一是通常有许多选项可用于我们需要完成的任务。

su 和 sudo 都各有长处，如果正确使用的话，两者都是非常安全的。我选择同时使用 su 和 sudo 命令，基于它们的历史功能，因为这对我来说十分有用。对于我自己的大部分工作，我更喜欢 su 命令，因为它与我的工作流程最适配。

在评论区分享你喜欢的工作方式吧！

本文摘自于我的书《 系统管理员的 Linux 哲学 The Linux Philosophy for Sysadmins （Apress，2018 年）》一书的第 19 章，并经许可后重新发布。

via: https://opensource.com/article/22/6/linux-su-vs-sudo-sysadmin

作者：David Both 选题：lkxed 译者：chai001125 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

以下是切换到 Linux sudo 命令的五个安全原因。下载 sudo 参考手册获取更多技巧。

在传统的 Unix 和类 Unix 系统上，新系统中存在的第一个同时也是唯一的用户是 root。使用 root 账户登录并创建“普通”用户。在初始化之后，你应该以普通用户身份登录。

以普通用户身份使用系统是一种自我施加的限制，可以防止愚蠢的错误。例如，作为普通用户，你不能删除定义网络接口的配置文件或意外覆盖用户和组列表。作为普通用户，你无权访问这些重要文件，所以你无法犯这些错误。作为系统的实际所有者，你始终可以通过 su 命令切换为超级用户（root）并做你想做的任何事情，但对于日常工作，你应该使用普通账户。

几十年来，su 运行良好，但随后出现了 sudo 命令。

对于日常使用超级用户的人来说，sudo 命令乍一看似乎是多余的。在某些方面，它感觉很像 su 命令。例如：

$ su root
<输入密码>
# dnf install -y cowsay

sudo 做同样的事情：

$ sudo dnf install -y cowsay
<输入密码>

它们的作用几乎完全相同。但是大多数发行版推荐使用 sudo 而不是 su，甚至大多数发行版已经完全取消了 root 账户（LCTT 译注：不是取消，而是默认禁止使用 root 用户进行登录、运行命令等操作。root 依然是 0 号用户，依然拥有大部分系统文件和在后台运行大多数服务）。让 Linux 变得愚蠢是一个阴谋吗？

事实并非如此。sudo 使 Linux 更加灵活和可配置，并且没有损失功能，此外还有 几个显著的优点。

为什么在 Linux 上 sudo 比 root 更好？

以下是你应该使用 sudo 替换 su 的五个原因。

1. root 是被攻击确认的对象

我使用 防火墙、fail2ban 和 SSH 密钥 的常用组合来防止一些针对服务器的不必要访问。在我理解 sudo 的价值之前，我对日志中的暴力破解感到恐惧。自动尝试以 root 身份登录是最常见的情况，自然这是有充分理由的。

有一定入侵常识的攻击者应该知道，在广泛使用 sudo 之前，基本上每个 Unix 和 Linux 都有一个 root 账户。这样攻击者就会少一种猜测。因为登录名总是正确的，只要它是 root 就行，所以攻击者只需要一个有效的密码。

删除 root 账户可提供大量保护。如果没有 root，服务器就没有确认的登录账户。攻击者必须猜测登录名以及密码。这不是两次猜测，而是两个必须同时正确的猜测。（LCTT 译注：此处是误导，root 用户不可删除，否则系统将会出现问题。另外，虽然 root 可以改名，但是也最好不要这样做，因为很多程序内部硬编码了 root 用户名。可以禁用 root 用户，给它一个不能登录的密码。）

2. root 是最终的攻击媒介

在访问失败日志中经常可以见到 root 用户，因为它是最强大的用户。如果你要设置一个脚本强行进入他人的服务器，为什么要浪费时间尝试以受限的普通用户进入呢？只有最强大的用户才有意义。

root 既是唯一已知的用户名，又是最强大的用户账户。因此，root 基本上使尝试暴力破解其他任何东西变得毫无意义。

3. 可选择的权限

su 命令要么全有要么全没有。如果你有 su root 的密码，你就可以变成超级用户。如果你没有 su 的密码，那么你就没有任何管理员权限。这个模型的问题在于，系统管理员必须在将 root 密钥移交或保留密钥和对系统的所有权之间做出选择。这并不总是你想要的，有时候你只是想授权而已。

例如，假设你想授予用户以 root 身份运行特定应用程序的权限，但你不想为用户提供 root 密码。通过编辑 sudo 配置，你可以允许指定用户，或属于指定 Unix 组的任何用户运行特定命令。sudo 命令需要用户的现有密码，而不是你的密码，当然也不是 root 密码。

4.超时

使用 sudo 运行命令后，通过身份验证的用户的权限会提升 5 分钟。在此期间，他们可以运行任何管理员授权的命令。

5 分钟后，认证缓存被清空，下次使用 sudo 再次提示输入密码。超时可防止用户意外执行某些操作（例如，搜索 shell 历史记录时不小心或按多了向上箭头）。如果一个用户离开办公桌而没有锁定计算机屏幕，它还可以确保另一个用户不能运行这些命令。

5. 日志记录

Shell 历史功能可以作为一个用户所做事情的日志。如果你需要了解系统发生了什么，你可以（理论上，取决于 shell 历史记录的配置方式）使用 su 切换到其他人的账户，查看他们的 shell 历史记录，也可以了解用户执行了哪些命令。

但是，如果你需要审计 10 或 100 名用户的行为，你可能会注意到此方法无法扩展。Shell 历史记录的轮转速度很快，默认为 1000 条，并且可以通过在任何命令前加上空格来轻松绕过它们。

当你需要管理任务的日志时，sudo 提供了一个完整的 日志记录和警报子系统，因此你可以在一个特定位置查看活动，甚至在发生重大事件时获得警报。

学习 sudo 其他功能

除了本文列举的一些功能，sudo 命令还有很多已有的或正在开发中的新功能。因为 sudo 通常是你配置一次然后就忘记的东西，或者只在新管理员加入团队时才配置的东西，所以很难记住它的细微差别。

下载 sudo 参考手册，在你最需要的时候把它当作一个有用的指导书。

sudo 参考手册

via: https://opensource.com/article/22/5/use-sudo-linux

作者：Seth Kenlon 选题：lkxed 译者：MjSeven 校对：turbokernel

本文由 LCTT 原创编译，Linux中国 荣誉推出

概览

sudo 表示 “superuser do”。 它允许已验证的用户以其他用户的身份来运行命令。其他用户可以是普通用户或者超级用户。然而，大部分时候我们用它来以提升的权限来运行命令。

sudo 命令与安全策略配合使用，默认安全策略是 sudoers，可以通过文件 /etc/sudoers 来配置。其安全策略具有高度可拓展性。人们可以开发和分发他们自己的安全策略作为插件。

与 su 的区别

在 GNU/Linux 中，有两种方式可以用提升的权限来运行命令：

• 使用 su 命令
• 使用 sudo 命令

su 表示 “switch user”。使用 su，我们可以切换到 root 用户并且执行命令。但是这种方式存在一些缺点：

• 我们需要与他人共享 root 的密码。
• 因为 root 用户为超级用户，我们不能授予受控的访问权限。
• 我们无法审查用户在做什么。

sudo 以独特的方式解决了这些问题。

1. 首先，我们不需要妥协来分享 root 用户的密码。普通用户使用他们自己的密码就可以用提升的权限来执行命令。
2. 我们可以控制 sudo 用户的访问，这意味着我们可以限制用户只执行某些命令。
3. 除此之外，sudo 用户的所有活动都会被记录下来，因此我们可以随时审查进行了哪些操作。在基于 Debian 的 GNU/Linux 中，所有活动都记录在 /var/log/auth.log 文件中。

本教程后面的部分阐述了这些要点。

实际动手操作 sudo

现在，我们对 sudo 有了大致的了解。让我们实际动手操作吧。为了演示，我使用 Ubuntu。但是，其它发行版本的操作应该是相同的。

允许 sudo 权限

让我们添加普通用户为 sudo 用户吧。在我的情形中，用户名为 linuxtechi。

1) 按如下所示编辑 /etc/sudoers 文件：

$ sudo visudo

2) 添加以下行来允许用户 linuxtechi 有 sudo 权限：

linuxtechi ALL=(ALL) ALL

上述命令中：

• linuxtechi 表示用户名
• 第一个 ALL 指示允许从任何终端、机器访问 sudo
• 第二个 (ALL) 指示 sudo 命令被允许以任何用户身份执行
• 第三个 ALL 表示所有命令都可以作为 root 执行

以提升的权限执行命令

要用提升的权限执行命令，只需要在命令前加上 sudo，如下所示：

$ sudo cat /etc/passwd

当你执行这个命令时，它会询问 linuxtechi 的密码，而不是 root 用户的密码。

以其他用户执行命令

除此之外，我们可以使用 sudo 以另一个用户身份执行命令。例如，在下面的命令中，用户 linuxtechi 以用户 devesh 的身份执行命令：

$ sudo -u devesh whoami
[sudo] password for linuxtechi:
devesh

内置命令行为

sudo 的一个限制是 —— 它无法使用 Shell 的内置命令。例如， history 记录是内置命令，如果你试图用 sudo 执行这个命令，那么会提示如下的未找到命令的错误：

$ sudo history
[sudo] password for linuxtechi:
sudo: history: command not found

访问 root shell

为了克服上述问题，我们可以访问 root shell，并在那里执行任何命令，包括 Shell 的内置命令。

要访问 root shell, 执行下面的命令:

$ sudo bash

执行完这个命令后——您将观察到提示符变为井号（#）。

技巧

这节我们将讨论一些有用的技巧，这将有助于提高生产力。大多数命令可用于完成日常任务。

以 sudo 用户执行之前的命令

让我们假设你想用提升的权限执行之前的命令，那么下面的技巧将会很有用：

$ sudo !4

上面的命令将使用提升的权限执行历史记录中的第 4 条命令。

在 Vim 里面使用 sudo 命令

很多时候，我们编辑系统的配置文件时，在保存时才意识到我们需要 root 访问权限来执行此操作。因为这个可能让我们丢失我们对文件的改动。没有必要惊慌，我们可以在 Vim 中使用下面的命令来解决这种情况：

:w !sudo tee %

上述命令中：

• 冒号 (:) 表明我们处于 Vim 的退出模式
• 感叹号 (!) 表明我们正在运行 shell 命令
• sudo 和 tee 都是 shell 命令
• 百分号 (%) 表明从当前行开始的所有行

使用 sudo 执行多个命令

至今我们用 sudo 只执行了单个命令，但我们可以用它执行多个命令。只需要用分号 (;) 隔开命令，如下所示：

$ sudo -- bash -c 'pwd; hostname; whoami'

上述命令中

• 双连字符 (--) 停止命令行切换
• bash 表示要用于执行命令的 shell 名称
• -c 选项后面跟着要执行的命令

无密码运行 sudo 命令

当第一次执行 sudo 命令时，它会提示输入密码，默认情形下密码被缓存 15 分钟。但是，我们可以避免这个操作，并使用 NOPASSWD 关键字禁用密码认证，如下所示：

linuxtechi ALL=(ALL) NOPASSWD: ALL

限制用户执行某些命令

为了提供受控访问，我们可以限制 sudo 用户只执行某些命令。例如，下面的行只允许执行 echo 和 ls 命令 。

linuxtechi ALL=(ALL) NOPASSWD: /bin/echo /bin/ls

深入了解 sudo

让我们进一步深入了解 sudo 命令。

$ ls -l /usr/bin/sudo
-rwsr-xr-x 1 root root 145040 Jun 13  2017 /usr/bin/sudo

如果仔细观察文件权限，则发现 sudo 上启用了 setuid 位。当任何用户运行这个二进制文件时，它将以拥有该文件的用户权限运行。在所示情形下，它是 root 用户。

为了演示这一点，我们可以使用 id 命令，如下所示：

$ id
uid=1002(linuxtechi) gid=1002(linuxtechi) groups=1002(linuxtechi)

当我们不使用 sudo 执行 id 命令时，将显示用户 linuxtechi 的 id。

$ sudo id
uid=0(root) gid=0(root) groups=0(root)

但是，如果我们使用 sudo 执行 id 命令时，则会显示 root 用户的 id。

结论

从这篇文章可以看出 —— sudo 为普通用户提供了更多受控访问。使用这些技术，多用户可以用安全的方式与 GNU/Linux 进行交互。

via: https://www.linuxtechi.com/quick-tips-sudo-command-linux-systems/

作者：Pradeep Kumar 译者：szcf-weiya 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

在早前的一篇文章中，我们深入讨论了 sudo 命令的相关内容。同时，在该文章的末尾有提到相关的命令 su 的部分内容。本文，我们将详细讨论关于 su 命令与 sudo 命令之间的区别。

在开始之前有必要说明一下，文中所涉及到的示例教程都已经在 Ubuntu 14.04 LTS 上测试通过。

Linux su 命令

su 命令的主要作用是让你可以在已登录的会话中切换到另外一个用户。换句话说，这个工具可以让你在不登出当前用户的情况下登录为另外一个用户。

su 命令经常被用于切换到超级用户或 root 用户（因为在命令行下工作，经常需要 root 权限），但是 - 正如前面所提到的 - su 命令也可以用于切换到任意非 root 用户。

如何使用 su 命令切换到 root 用户，如下：

如上，su 命令要求输入的密码是 root 用户的密码。所以，一般 su 命令需要输入目标用户的密码。在输入正确的密码之后，su 命令会在终端的当前会话中打开一个子会话。

su -

还有一种方法可以切换到 root 用户：运行 su - 命令，如下：

那么，su 命令与 su - 命令之间有什么区别呢？前者在切换到 root 用户之后仍然保持旧的（或者说原始用户的）环境，而后者则是创建一个新的环境（由 root 用户 ~/.bashrc 文件所设置的环境），相当于使用 root 用户正常登录（从登录屏幕登录）。

su 命令手册页很清楚地说明了这一点：

可选参数 - 可提供的环境为用户在直接登录时的环境。

因此，你会觉得使用 su - 登录更有意义。但是， su 命令也是有用的，那么大家可能会想知道它在什么时候用到。以下内容摘自 ArchLinux wiki 网站 - 关于 su 命令的好处和坏处：

• 有的时候，对于系统管理员（root）来讲，使用其他普通用户的 Shell 账户而不是自己的 root Shell 账户更会好一些。尤其是在处理用户问题时，最有效的方法就是是：登录目标用户以便重现以及调试问题。
• 然而，在多数情况下，当从普通用户切换到 root 用户进行操作时，如果还使用普通用户的环境变量的话，那是不可取甚至是危险的操作。因为是在无意间切换使用普通用户的环境，所以当使用 root 用户进行程序安装或系统更改时，会产生与正常使用 root 用户进行操作时不相符的结果。例如，以普通用户安装程序会给普通用户意外损坏系统或获取对某些数据的未授权访问的能力。

注意：如果你想在 su - 命令的 - 后面传递更多的参数，那么你必须使用 su -l 而不是 su -。以下是 - 和 -l 命令行选项的说明：

-, -l, --login

提供相当于用户在直接登录时所期望的环境。

当使用 - 时，必须放在 su 命令的最后一个选项。其他选项（-l 和 --login）无此限制。

su -c

还有一个值得一提的 su 命令行选项为：-c。该选项允许你提供在切换到目标用户之后要运行的命令。

su 命令手册页是这样说明：

-c, --command COMMAND

使用 -c 选项指定由 Shell 调用的命令。

被执行的命令无法控制终端。所以，此选项不能用于执行需要控制 TTY 的交互式程序。

参考示例：

su [target-user] -c [command-to-run]

示例中，command-to-run 将会被这样执行：

[shell] -c [command-to-run]

示例中的 shell 类型将会被目标用户在 /etc/passwd 文件中定义的登录 shell 类型所替代。

sudo vs. su

现在，我们已经讨论了关于 su 命令的基础知识，是时候来探讨一下 sudo 和 su 命令之间的区别了。

关于密码

两个命令的最大区别是：sudo 命令需要输入当前用户的密码，su 命令需要输入 root 用户的密码。

很明显，就安全而言，sudo 命令更好。例如，考虑到需要 root 访问权限的多用户使用的计算机。在这种情况下，使用 su 意味着需要与其他用户共享 root 用户密码，这显然不是一种好习惯。

此外，如果要撤销特定用户的超级用户/root 用户的访问权限，唯一的办法就是更改 root 密码，然后再告知所有其他用户新的 root 密码。

而使用 sudo 命令就不一样了，你可以很好的处理以上的两种情况。鉴于 sudo 命令要求输入的是其他用户自己的密码，所以，不需要共享 root 密码。同时，想要阻止特定用户访问 root 权限，只需要调整 sudoers 文件中的相应配置即可。

默认行为

两个命令之间的另外一个区别是其默认行为。sudo 命令只允许使用提升的权限运行单个命令，而 su 命令会启动一个新的 shell，同时允许使用 root 权限运行尽可能多的命令，直到明确退出登录。

因此，su 命令的默认行为是有风险的，因为用户很有可能会忘记他们正在以 root 用户身份进行工作，于是，无意中做出了一些不可恢复的更改（例如：对错误的目录运行 rm -rf 命令！）。关于为什么不鼓励以 root 用户身份进行工作的详细内容，请参考这里。

日志记录

尽管 sudo 命令是以目标用户（默认情况下是 root 用户）的身份执行命令，但是它们会使用 sudoer 所配置的用户名来记录是谁执行命令。而 su 命令是无法直接跟踪记录用户切换到 root 用户之后执行了什么操作。

灵活性

sudo 命令比 su 命令灵活很多，因为你甚至可以限制 sudo 用户可以访问哪些命令。换句话说，用户通过 sudo 命令只能访问他们工作需要的命令。而 su 命令让用户有权限做任何事情。

sudo su

大概是因为使用 su 命令或直接以 root 用户身份登录有风险，所以，一些 Linux 发行版（如 Ubuntu）默认禁用 root 用户帐户。鼓励用户在需要 root 权限时使用 sudo 命令。

然而，您还是可以成功执行 su 命令，而不用输入 root 用户的密码。运行以下命令：

sudo su

由于你使用 sudo 运行命令，你只需要输入当前用户的密码。所以，一旦完成操作，su 命令将会以 root 用户身份运行，这意味着它不会再要求输入任何密码。

PS：如果你想在系统中启用 root 用户帐户（强烈反对，因为你可以使用 sudo 命令或 sudo su 命令），你必须手动设置 root 用户密码，可以使用以下命令：

sudo passwd root

结论

当你需要可用的工具来提升（或一组完全不同的）权限来执行任务时，这篇文章以及之前的教程（其中侧重于 sudo 命令）应该能给你一个比较好的建议。 如果您也想分享关于 su 或 sudo 的相关内容或者经验，欢迎您在下方进行评论。

via: https://www.howtoforge.com/tutorial/sudo-vs-su/

作者：Himanshu Arora 译者：zhb127 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

你在使用 Linux 命令行时曾经得到过“ 拒绝访问 （ Permission denied ） ”的错误提示吗？这可能是因为你正在尝试执行一个需要 root 权限的操作。例如，下面的截图展示了当我尝试复制一个二进制文件到一个系统目录时产生的错误。

那么该怎么解决这个错误？很简单，使用 sudo 命令。

用户运行此命令后会被提示输入他们（自己）的登录密码。一旦输入了正确的密码，操作将会成功执行。

毫无疑问，sudo 是任何在 Linux 上使用命令行的人都必须知道的命令。但是，为了更负责、更有效地使用该命令，你还是要知道一些相关（及深入）的细节。这正是我们将会在这篇文章中讨论的。

在我们继续之前，值得提一下的是，这篇文章所提到的所有命令指示都已经在 Ubuntu 14.04 LTS 下的 4.3.11 版 Bash 下通过测试。

什么是 sudo

正如你们大部分人所知道的，sudo 用来执行需要提升权限（通常是作为 root 用户）的命令。在这篇文章之前的简介部分已经讨论过这样的一个例子。然而，如果你想的话，你能用 sudo 以其它（非 root ）用户运行命令。

这是由工具提供的 -u 命令行选项所实现的。举个例子，如下例所展示的那样，我（himanshu）尝试将一个在其他用户（howtoforge）的 Home 目录中的文件重命名，但是得到一个“访问拒绝”的错误。然后我加上 sudo -u howtoforge 后用同样的“mv”命令，命令成功执行了：

任何人都能用 sudo 吗？

不是。一个用户要能使用 sudo ，应该在 /etc/sudoers 文件里有一条跟该用户相关的信息。下述摘自 Ubuntu 网站的一段能讲得更清楚：

/etc/sudoers 文件控制了谁能以哪个用户的身份在哪个机器上运行什么命令，还可以控制特别的情况，例如对于特定的命令是否需要输入密码。这个文件由 别名 aliases （基本变量）和 用户标识 user specifications （控制谁能运行什么命令）组成。

如果你正在使用 Ubuntu，让一个用户能运行 sudo 命令很容易：你所需要做的就是把账户类型改成 管理员 administrator 。这可直接在 系统设置 System Settings -> 用户账户 User Accounts 里完成。

首先解锁该窗口：

然后选择你想改变用户类型的用户，然后将类型改成 管理员 administrator 。

然而，如果你不使用 Ubuntu，或者你的发行版没有提供这个特性，你可以手动编辑 /etc/sudoers 文件来实现此改变。要在文件中添加这样的一行：

[user]    ALL=(ALL:ALL) ALL

无需赘言，[user] 应该用你想提升 sudo 权限的用户的用户名所代替。在这里值得提到的一件重要的事情是，官方建议通过 visudo 命令编辑该文件 —— 你需要做的就是运行下述命令：

sudo visudo

为了说清究竟是怎么一回事，这里有段从 visudo 手册里的摘要：

visudo 以安全的模式编辑 sudoers 文件。visudo 锁定 sudoers 文件以防多个编辑同时进行，提供基本的检查（sanity checks）和语法错误检查。如果 sudoers 文件现在正在被编辑，你将会收到一个信息提示稍后再试。

关于 visudo 的更多信息，前往这里。

什么是 sudo 会话

如果你经常使用 sudo 命令，你肯定注意到过当你成功输入一次密码后，可以不用输入密码再运行几次 sudo 命令。但是一段时间后，sudo 命令会再次要求你的密码。

这种现象跟运行 sudo 命令数目无关，跟时间有关。是的，sudo 默认在输入一次密码后 15 分钟内不会再次要求密码。15 分钟后，你会再次被要求输入密码。

然而，如果你想的话，你能改变这种现象。用以下命令打开 /etc/sudoers 文件：

sudo visudo

找到这一行：

Defaults env_reset

然后在这行最后添加以下变量：

Defaults env_reset,timestamp_timeout=[new-value]

[new-value] 为想要 sudo 会话持续的时间数。例如，设数值为 40。

如果你希望每次使用 sudo 命令时都要求输入密码，你可以把这个变量赋值为 0 。想要 sudo 会话永远不过时，应赋值为 -1。

注意将 timestamp_timeout 的值赋为 “-1” 是强烈不推荐的。

sudo 密码

你可能注意过，当 sudo 要求输入密码然后你开始输入时，不会显示任何东西 —— 甚至连常规的星号都没有。虽然这不是什么大问题，不过一些用户就是希望显示星号。

好消息是那有可能也很容易做到。所有你需要做的就是在 /etc/sudoers 文件里将下述的行：

Defaults        env_reset

改成

Defaults        env_reset,pwfeedback

然后保存文件。

现在，无论什么时候输入 sudo 密码，星号都会显示。

一些重要的 sudo 命令行参数

除了 -u 命令行参数（我们已经在这篇教程的开始部分讨论过了），还有其他重要的 sudo 命令行参数值得注意。在这部分，我们将会讨论其中一些。

-k 参数

考虑下这种情况：输入密码后你刚刚运行了几个 sudo 驱动的命令。现在，如你所知，sudo 会话默认保持 15 分钟。假设在这会话期间，你需要让某些人访问你的终端，但你不想让他们可以使用 sudo ，你将会怎么做？

还好，有 -k 命令行参数允许用户取消 sudo 权限。这是 sudo 帮助页面 （ man page ） 对此的解释：

-k, --reset-timestamp

不带任何命令使用时，撤销用户缓存的凭据。换句话讲，下一次使用 sudo 将会要求输入密码。使用这个参数不需要密码，也可以放到一个 .logout 文件中来撤销 sudo 权限。

当与一个命令，或者一个可能需要密码的操作一起用时，这个参数将会导致 sudo 忽略用户缓存的凭据。结果是 sudo 要求输入密码（如果这是被安全策略所要求的），而且不会更新用户缓存的凭据。

-s 参数

有时你的工作要求你运行一堆需要 root 权限的命令，你不想每次都输入密码。你也不想通过改变 /etc/sudoers 文件调整 sudo 会话的过期时限。

这种情况下，你可以用 sudo 的 -s 参数。这是 sudo 帮助页面对此的解释：

-s, --shell

如果设置了 SHELL 环境变量或者调用用户的密码数据库指定了 shell，就运行该 shell 。如果指定了命令，命令将会通过 shell 的 -c 参数将命令传递给该 shell 执行。如果没有指定命令，会执行一个交互式 shell。

所以，基本上这命令参数做的是：

• 启动一个新的 shell - 至于是哪一个 shell，参照 SHELL 环境变量赋值。如果 $SHELL 是空的，将会用 /etc/passwd 中定义的 shell。
• 如果你用 -s 参数传递了一个命令名（例如 sudo -s whoami），实际执行的是 sudo /bin/bash -c whoami。
• 如果你没有尝试执行其他命令（也就是说，你只是要运行 sudo -s），你将会得到一个有 root 权限的交互式的 shell。

请记住，-s 命令行参数给你一个有 root 权限的 shell，但那不是 root 环境 —— 还是执行的你自己的 .bashrc 。例如，在 sudo -s 运行的新 shell 里，执行 whoami 命令仍会返回你的用户名，而非 root 。

-i 参数

-i 参数跟我们讨论过的 -s 参数相像。然而，还是有点区别。一个重要的区别是 -i 给你的是 root 环境，意味着你的（用户的）.bashrc 被忽略。这就像没有显式地用 root 登录也能成为 root 。此外，你也不用输入 root 用户密码。

重要：请注意 su 命令也能让你切换用户（默认切换到 root ）。这个命令需要你输入 root 密码。为了避免这一点，你可以使用 sudo 执行它（sudo su），这样你只需要输入你的登录密码。然而，su 和 sudo su 有隐含的区别 —— 要了解它们，以及它们和 sudo -i 的区别，请看这里 。

总结

我希望现在你至少知道了 sudo 的基本知识，以及如何调整 sudo 的默认行为。请按我们解释过的那样去尝试调整 /etc/sudoers 。同时也浏览一下论坛讨论来更深入了解 sudo 命令。

via: https://www.howtoforge.com/tutorial/sudo-beginners-guide/

作者：Himanshu Arora 译者：ypingcn 校对：jasminepeng

本文由 LCTT 原创编译，Linux中国 荣誉推出

Calife会在登录为另外一个用户前输入自己的密码（如果没有提供登录名，默认是登录为root），在验证具有正确的权限后，就会切换到该用户及其组身份，并就会执行一个shell。如果 calife 是由 root 执行的，不需要密码，会执行一个所需的用户ID的shell。

所用的shell是用户自身所用的，除非在calife.auth配置文件中指定了某个shell。如果在命令行指定了“-”选项，就会读取该用户的环境文件，该shell就像是一个登录shell。这和su的惯常用法不同。

只有在calife.auth中指定的用户才能使用此方法通过calife成为另外一个用户。calife.auth安装位置处于/etc/calife.auth。

Calife特性

这里给出了一个关于calife特性的扩展列表：

• 你可以完整保留你的环境变量和shell别名
• 它可以全程记录会话的开始到结束
• 你可以列出每个许可使用calife的用户，那样，你就可以用户赋予主管权限而不必提供root密码
• 你可以在配置文件中指定哪个组可以使用：只要使用@staff或者%staff，那么所有staff组中的成员都将具有访问calife的权限
• 通过calife也可以登录成为那些没有家目录或甚至没有shell的用户。如果你想要成为uucp或者甚至是bin，那会很方便
• 你可以让calife在会话结束时运行一个指定的系统级的脚本（例如，发送一封邮件告知以root身份做了哪些事）

ubuntu中安装calife

打开终端，然后运行以下命令

sudo apt-get install calife

使用Calife

语法

calife [-] [login]

详情请参与calife手册页

via: http://www.ubuntugeek.com/calife-a-lightweight-alternative-to-sudo.html

作者：ruchi 译者：GOLinux 校对：wxy

本文由 LCTT 原创翻译，Linux中国 荣誉推出