ubuntu16.04 正确编辑 /etc/sudoers 文件，禁止普通用户使用超级权限

最新推荐文章于 2024-09-30 20:15:00 发布

原创最新推荐文章于 2024-09-30 20:15:00 发布 · 5.9k 阅读

5 ·

CC 4.0 BY-SA版权

服务器运维专栏收录该内容

27 篇文章

订阅专栏

本文详细介绍了在Ubuntu16.04中如何正确编辑/etc/sudoers文件，包括修改文件权限、禁止普通用户使用超级权限、编辑用户特权行以及允许普通用户使用sudo命令的方法。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

ubuntu16.04 正确编辑 /etc/sudoers 文件，禁止普通用户使用超级权限

`/etc/sudoers` 编辑权限问题

请先切换到超级用户（root），将 /etc/sudoers 修改为可编辑。

ls -lah /etc/sudoers
chmod 777 /etc/sudoers

将 /etc/sudoers 修改回只读模式。

chmod 440 /etc/sudoers
ls -lah /etc/sudoers

如何编辑 `/etc/sudoers`

User Privilege Lines

root ALL=(ALL:ALL) ALL
The first field indicates the username that the rule will apply to (root).
demo ALL=(ALL:ALL) ALL
The first “ALL” indicates that this rule applies to all hosts.
demo ALL=(ALL:ALL) ALL
This “ALL” indicates that the root user can run commands as all users.
demo ALL=(ALL:ALL) ALL
This “ALL” indicates that the root user can run commands as all groups.
demo ALL=(ALL:ALL) ALL
The last “ALL” indicates these rules apply to all commands.
This means that our root user can run any command using sudo, as long as they provide their password.

禁止普通用户使用 `sudo`, `su` 命令

这里约定普通用户的用户名是 www-data，其用户组只有 www-data。
那么在 /etc/sudoers 中添加如下的规则，可以禁止用户使用 sudo 命令

www-data ALL=(www-data:www-data) /bin/*,/usr/bin/*,/sbin/*, /usr/sbin/*,!/usr/bin/sudo,!/bin/su,!/usr/bin/passwd,!/usr/bin/chattr -* /etc/sudoers

普通用户禁用 su 的话。这里需要注意的是 ubuntu 16.04 禁止普通用户使用 su 命令，需要修改 /etc/pam.d/su，找到类似 #auth required pam_wheel.so，取消其注释，并在其后添加允许使用 su 的用户组 group=sudo。

最终的修改如下，修改后会立刻生效：

auth       required   pam_wheel.so group=sudo

可以不用在 /etc/login.defs 追加 SU_WHEEL_ONLY yes，如果追加，可能会报 SU Module Unknown Error。可能是由于 ubuntu 上没有 wheel 组，有可能会出现不兼容的情况，例如这位老哥 pam.d/su to restrict su access. SU Module Unknown Error。