如何禁用sudo用户的“su”访问权限？

---

简介

在系统安全方面，尽可能限制root访问权限至关重要，尤其是在多个用户可以访问系统的情况下。“su”命令是用户获得root访问权限的一种方式。

虽然su命令允许用户从一个用户帐户切换到另一个用户帐户，但拥有sudo权限的用户可能会误用或滥用它。在本文中，我们将解释sudo用户的“su”访问权限的含义，为什么禁用sudo用户的“su”访问权限很重要，以及如何做到这一点。

sudo用户的“su”访问权限说明

在基于Unix的系统中，“sudo”用于代替直接以超级用户或root身份登录。通过使用“sudo”，普通用户帐户可以临时获得提升的权限，以执行系统顺利运行所需的管理任务。

“sudoers”文件控制谁有权使用“sudo”。但是，在某些配置下，这些特权用户仍然可能通过su命令拥有不受限制的root级替换用户 (Su) 功能。

了解Sudo和Su命令

sudo命令说明

sudo命令是一个强大的工具，允许用户执行管理级任务，而无需root访问权限。它通过提示用户输入他们自己的密码而不是root密码来运行，确保只有授权用户才能执行特权命令。此功能使系统管理员可以轻松地将特定任务委派给非root用户，通过限制人为错误或恶意意图造成的潜在损害，提供额外的安全层。

sudo和su命令都是管理基于Unix的系统的重要工具。虽然它们具有相似的用途，但在它们的功能和允许用户执行的操作方面存在根本差异。

了解这些差异对于维护正确的系统安全协议和防止未经授权的访问或滥用特权帐户至关重要。在下一节中，我们将探讨允许sudo用户访问“su”命令所带来的一些风险，以及为什么除非绝对必要，否则禁用此功能至关重要。

未经授权的root权限访问

与sudo用户的“su”访问权限相关的最大风险是未经授权的root权限访问。如果恶意或粗心的用户通过“su”获得root权限，他们可以执行任何命令或更改系统上的任何文件，而无需任何限制。这包括删除关键系统文件，安装恶意软件或修改可能导致安全漏洞的系统配置。

如果攻击者获得了具有“su”访问权限的用户帐户的控制权，他们可以使用它作为垫脚石来提升其在目标系统上的权限，并对网络内部或外部的其他目标发起进一步攻击。简而言之，授予不受限制的root权限是在计算机安全方面最危险的事情之一。

多个用户访问root权限相关的安全风险

除了恶意行为者未经授权的访问之外，当多个用户在同一系统上具有“su”访问权限时，也存在固有风险。允许多个用户无限制地使用管理权限会增加他们在尝试同时对同一硬件进行更改或执行任务时发生冲突的可能性。在这种情况下，如果出现问题，很难甚至不可能确定是谁执行了哪个操作——无论是无意的错误还是特权用户之一蓄意破坏的行为。

因此，禁用sudo用户的“su”访问权限可以降低这些风险，同时最大限度地减少由于多个用户与root权限交互而产生的冲突和混乱。在下一节中，我们将讨论如何安全有效地为sudo用户禁用“su”访问权限。

如何禁用sudo用户的“su”访问权限

分步指南如果您已决定禁用sudo用户的“su”访问权限，您可以按照以下简单步骤操作

步骤1 - 打开终端窗口

首先，启动您的终端应用程序。您可以通过按键盘上的Ctrl+Alt+T或在系统的应用程序菜单中搜索“终端”来执行此操作。

步骤2 - 编辑/etc/pam.d/su文件

接下来，使用nano或vim之类的文本编辑器打开/etc/pam.d/su文件。您将在其中进行更改以禁用sudo用户的“su”访问权限。例如，如果您使用的是nano，您可以将此命令输入终端：

sudo nano /etc/pam.d/su 

这将以编辑模式打开文件。

步骤3 - 注释掉或删除读取的内容为：auth sufficient pam_rootok.so的行

在以编辑模式打开su文件后，找到此行：

auth sufficient pam_rootok.so   

您需要将其注释掉或完全删除。

要注释掉它，请在行的开头放置一个“#”符号：

#auth sufficient pam_rootok.so     

或者，只需从文本编辑器中删除整行。必须注意，某些发行版可能具有不同的身份验证机制和配置。

在这种情况下，修改此配置文件可能无法按预期工作。因此，在进行任何更改之前，请确保您做出明智的决定。

步骤4 - 保存并退出文件

保存并退出文本编辑器。例如，如果使用nano，您可以按Ctrl+X保存更改，然后按Y确认更改，最后按Enter退出nano。

完成这四个步骤后，系统上将禁用sudo用户的“su”访问权限。这意味着以前可以使用“su”命令访问root权限的用户将不再能够这样做。此方法是提高系统安全性的简单有效方法。

结论

禁用sudo用户的“su”访问权限是系统管理员应采取的关键安全措施，以维护其系统的完整性。在本文中，我们探讨了“su”访问权限的概念及其与sudo用户的关系，以及允许多个用户访问root权限相关的风险。我们还介绍了几种禁用“su”访问权限的方法，包括编辑/etc/pam.d/su文件和为管理任务创建单独的组。

需要注意的是，虽然禁用“su”访问权限可以提高系统安全性，但这不能替代其他最佳实践，例如强密码和定期软件更新。系统管理员应始终采用多层安全方法，以确保最大程度地防止威胁。