sudoとsuの違いは何ですか？

数日前、私は定期的なブログリーダーで強迫的なコメンターであるMiguelから次のような質問を受けました。 の違いは正確には何ですか sudo y su。 特に、ミゲルは一方の方法がもう一方の方法より安全かどうかを懸念していました。 たまたまそれを読んだことがあります 須藤は安全ではなかった ともっと知りたいと思った。これは、より多くの記事を求めた人に捧げられた別の投稿です ターミナルミステリー.

Su

プログラム su 現在のセッションからログアウトせずに、別のユーザーのシェルを使用できます。 これは通常、ログアウトしてシステムに再入室することなく、管理操作のroot権限を取得するために使用されます。 GNOMEやKDEなどの一部のデスクトップ環境には、通常はそのようなアクセスを必要とするコマンドの実行をユーザーに許可する前に、パスワードをグラフィカルに要求するプログラムがあります。

suという名前は英語に由来します s代替 ube（代替ユーザー）。 それを派生させる人もいます sウペu通常、システム管理者の役割を採用するために使用されるため、ser（スーパーユーザー、つまりrootまたは管理者ユーザー）。

あなたが走るとき、 su アクセスしたいアカウントのパスワードを要求し、それが受け入れられると、そのアカウントへのアクセスを許可します。

[guy @ localhost] $パスワード：[root @ localhost]＃ログアウトを終了[guy @ localhost] $

ユーザーを配置しないことで、管理者としてアクセスします。 ただし、別のユーザー名をパラメーターとして渡すこともできます。

[guy @ localhost] $ su mongoパスワード：[mongo @ localhost]＃ログアウトを終了[guy @ localhost] $

パスワードを入力すると、他のユーザーであるかのようにコマンドを実行できます。 書面で 終了する、ユーザーに戻ります。

広く使用されているバリアントは su ダッシュが続きます。 したがって、rootとしてログインするには、次のように入力する必要があります。 彼の- 別のユーザーとしてログインする あなた-他のユーザー。 スクリプトを使用するかどうかの違いは？ スクリプトは、そのユーザーでログインすることをシミュレートするため、使用することをお勧めします。 したがって、そのユーザーのすべてのスタートアップファイルを実行し、現在のディレクトリをそのユーザーのHOMEに変更し、いくつかのシステム変数の値を変更して、それらを新しいユーザー（HOME、SHELL、TERM、USER、LOGNAMEなど）に適合させます。その他 より多くの事.

sysadminは、root /管理者アカウントのパスワードを選択する際に、実行中の特権のないユーザーによる攻撃を避けるために、非常に注意する必要があります。 su。 一部のUnixライクなシステムには、 ホイール、実行できる唯一のもので構成されています su。 侵入者がこれらのアカウントのXNUMXつを単純に乗っ取る可能性があるため、これによりセキュリティ上の懸念が軽減される場合と軽減されない場合があります。 彼 su ただし、GNUはそのグループの使用をサポートしていません。 これは哲学的な理由で行われました。

数独

と呼ばれる関連コマンド sudoは、別のユーザーとしてコマンドを実行しますが、どのユーザーが他のどのユーザーに代わってどのコマンドを実行できるかに関する一連の制限を尊重します（通常はファイルで指定されます） /etc/sudoers).

一方、とは異なり su, sudo 必要なユーザーではなく、自分のパスワードの入力をユーザーに求めます。 これにより、パスワードを共有しなくても他のマシンのユーザーにコマンドを委任できるため、端末から離れるリスクが軽減されます。

須藤問題：猶予期間

の利点 sudo に関して su つまり、現在のユーザーを実際に変更することなく、他のユーザーになりすまして要求されたコマンドを実行するだけです。 これは、管理者としてコマンドを実行できることを意味し、次の秒で、彼は以前に使用していたユーザーの特権を持ちます...またはほとんど。

一部の人は、セキュリティ違反として、 sudo ユーザーがコマンドとパスワードの前にsudoを繰り返し入力しなくても、別のユーザーとしてコマンドを実行できる「猶予期間」を付与します。 その「猶予期間」の後、 sudo もう一度パスワードを尋ねられます。

これは「悪い」です。基本的に、sudoパスワードを入力した後、誰かがコンピュータを乗っ取って、「猶予期間」がアクティブな間にDISASTERを作成する可能性があるためです。

幸い、「猶予期間」を無効にすることができます。これにより、システムのセキュリティが向上します。 ファイルにXNUMX行追加するだけです /etc/sudoers:

sudo nano / etc / sudoers

そして、ファイルの最後に次の行を追加します。

デフォルト：ALL timestamp_timeout = 0

変更は、システムを再起動しなくてもすぐに有効になります。