ประโยชน์ของ sudo over su คืออะไร?

อะไรคือประโยชน์ที่แท้จริงที่ Ubuntu (หรือ Debian อนุพันธ์) บรรลุโดยการปิดใช้งานผู้ใช้รูท?

ทุกที่ที่ฉันอ่านมีข้อความว่าเพื่อป้องกันความเสียหายโดยไม่ตั้งใจสำหรับผู้ใช้ที่ไม่มีประสบการณ์ ฉันต้องการที่จะรู้ว่าสิ่งที่แน่นอนเพราะsudoสามารถดำเนินการคำสั่งทั้งหมด (ที่ฉันรู้ / ใช้)

ดังนั้นในกรณีใดรูทสามารถทำให้เกิดความเสียหายในขณะที่sudoไม่สามารถ?

PS: ฉันรู้วิธีการsudoทำงาน

ดังนั้นในกรณีใดรูทสามารถทำให้เกิดความเสียหายในขณะที่ sudo ไม่สามารถ?

เนื่องจากโดยปกติคุณจะต้องเรียกใช้sudoทุกครั้งที่คุณต้องการทำสิ่งที่ต้องการสิทธิ์การใช้เหตุผลคือคุณจะ "คิดก่อนที่คุณจะกระโดด" นั่นคือไม่เพียงแค่ติด sudo ต่อหน้าอะไรสักอย่างโดยไม่คิดอะไรสักอย่าง กำลังจะทำ

ด้วยsuในทางกลับกันเมื่อคุณอยู่ในคุณอยู่ใน. คุณมี Carte Blanche (ใบอนุญาตเปิด) จะทำอะไรและทุกอย่างและเหตุผลคือคุณอาจลืมสำหรับช่วงเวลาที่ว่าคุณมีสิทธิ์เหล่านั้นและถ้าคุณ โชคไม่ดีรันบางสิ่งที่จะส่งผลกระทบอย่างรุนแรง / ทำให้ระบบของคุณเสียหาย - หากคุณไม่มีสิทธิ์ su คำสั่งจะไม่ทำอะไรที่ร้ายแรง

IMO ข้อได้เปรียบที่สำคัญของ sudo over su คือ sudo มีการบันทึกที่เหนือกว่าของคำสั่งใดที่ทำงานและ sudo ให้การควบคุมที่ดียิ่งขึ้นต่อสิ่งที่ผู้ใช้สามารถทำได้

su คือทั้งหมดหรือไม่มีเลย แต่ sudo สามารถกำหนดค่าให้อนุญาตการเข้าถึงบางคำสั่ง แต่ไม่ใช่ทั้งหมด

ดูhttps://help.ubuntu.com/community/RootSudoสำหรับการสนทนาที่สมบูรณ์ยิ่งขึ้นรวมถึงข้อดีและข้อเสีย

ซู -

เมื่อเข้าสู่ระบบในฐานะrootงานใด ๆ ที่คุณเริ่มต้นการกระทำที่คุณเรียกใช้หรือเหตุการณ์สุ่มที่เกิดจากการเข้าชมเว็บไซต์บางอย่าง ฯลฯ .. จะทำงานเป็นผู้ใช้ขั้นสูง

sudo

เมื่อคุณเรียกใช้sudoในขณะที่คุณเรียกใช้คำสั่งเฉพาะคำสั่งนั้นจะทำงานเป็นผู้ใช้ขั้นสูง

คุณจะถูกถามรหัสผ่านก่อนที่คำสั่งจะถูกดำเนินการ ดังนั้นผู้ใช้ปฏิสัมพันธ์โดยคุณยังจำเป็นต้องใช้

ความพยายามในการเรียกใช้sudoสามารถถูกบันทึกได้ด้วย

มันเกี่ยวกับการจัดการผู้ใช้ / รหัสผ่านสำหรับ sysadmins

หากคุณมีผู้ใช้หลายคนพวกเขาควรมีบัญชีแยกต่างหากและควรสามารถติดตามได้โดยใช้บัญชีเหล่านั้น ซึ่งหมายความว่าผู้คนไม่สามารถซ่อนตัวตนของพวกเขา นอกจากนี้หากคุณต้องการเพิกถอนสิทธิ์ผู้ใช้เฉพาะคุณไม่จำเป็นต้องรีเซ็ตรหัสผ่านรูท เพื่อให้ทุกคนในสภาพแวดล้อมที่มีผู้ดูแลระบบมากกว่า 2 คนรหัสผ่านรูททำให้เป็นฝันร้ายเมื่อคนคนหนึ่งหยุด คุณไม่เพียง แต่ต้องเปลี่ยนแปลง แต่ต้องสื่อสาร ฯลฯ สิ่งทั้งหมดนี้จะต้องเกิดขึ้นเมื่อหนึ่งในนั้นมีแล็ปท็อปที่ถูกขโมยหรือสิ่งนั้น หนึ่งบัญชีที่มีรหัสผ่านเดียวต่อคนทำให้การจัดการง่ายขึ้น มันคล้ายกับปรัชญาเบื้องหลังว่าทำไมแต่ละบริการควรมีบัญชีของตัวเอง หากบัญชีหนึ่งถูกบุกรุกคุณไม่จำเป็นต้องกำหนดค่าบริการโหลอื่น (เช่นงานสำรอง) เพื่อใช้บัญชีอื่น

ฉันพบว่ามันสะดวกสบายเป็นการส่วนตัวที่จะไม่มีรหัสผ่านอื่นเพื่อติดตามสูญหายและถูกบุกรุก ใน RHEL ฉันปิดใช้งานบัญชีรูทโดยเฉพาะหลังจากกำหนดค่า sudo ดังนั้นฉันจึงไม่ต้องติดตามมัน เมื่ออยู่ครู่หนึ่งผู้ใช้ b0rks ไฟล์ sudo แต่สามารถแก้ไขได้ในโหมดผู้ใช้คนเดียว (โดยปกติมันเป็นเครื่องผลิต)

หมายเหตุ: 'sudo bash' จะช่วยให้คุณข้ามการพิมพ์ sudo สำหรับแต่ละคำสั่ง ...

ฉันคิดว่าอันดับแรกเราต้องดูว่าจริง ๆ แล้ว su และ sudo คืออะไร

su - หมายถึงผู้ใช้สำรอง คุณใช้สิ่งนี้เพื่อสลับเปลือกเป็นผู้ใช้อื่นโดยใช้รหัสผ่านของผู้ใช้นั้น ใช้กับราก ไม่ต้องการรหัสผ่านเมื่อดำเนินการในฐานะรูท

sudo - อนุญาตให้ผู้ใช้ที่ได้รับอนุญาตดำเนินการคำสั่งที่ระบุเป็นผู้ใช้อื่น นอกจากนี้ยังใช้กับราก อย่างไรก็ตามสิ่งนี้ช่วยให้คุณสามารถจัดการคำสั่งที่อาจถูกเรียกใช้เป็นการใช้งานอื่นโดยเฉพาะ (ตัวอย่างเช่นคุณสามารถให้ผู้ใช้สามารถเรียกใช้สคริปต์ init.d แต่ไม่มีอะไรอื่น)

หมายเหตุคุณสามารถเรียกใช้sudo suหรือเสมอsudo -iและจะให้รูทเชลล์แก่คุณ อย่างไรก็ตามไม่มีรหัสผ่านรูทหมายความว่าไม่มีการล็อกอินโดยตรงในฐานะรูท ... ซึ่งหมายความว่าไม่มีใครสามารถเจาะเข้าสู่ผู้ใช้รายนั้น

แก้ไข: ดังนั้นคำตอบที่คุณต้องการคือ: ไม่มีรหัสผ่านรูทบังคับให้คุณใช้sudoซึ่งโดยธรรมชาติแล้วจะสอดคล้องกับsudoปรัชญาของคุณซึ่งแนะนำให้คุณบังคับควบคุมการกระทำที่เรียกใช้ในฐานะรูท

นอกจากนี้ยังมีข้อควรพิจารณาในการบันทึกเพื่อพิจารณาระหว่าง sudo และ su การเป็นซูก็ทำทุกอย่างในฐานะรูทโดยไม่มีรายการอื่นนอกจากบรรทัดเดียวในบันทึกรับรองความถูกต้องที่บอกว่าคุณกลายเป็นรูต

Sudo ตรงกันข้ามจะได้รับการบันทึกเป็น ID ผู้ใช้ของคุณด้วย priveleesw ที่เพิ่มขึ้น

โดยปกติแล้วการเข้าสู่ระบบในฐานะ su นั้นง่ายกว่าเมื่อดำเนินการเกี่ยวกับการดูแลระบบ อย่างไรก็ตามมีข้อยกเว้นอย่างน้อยหนึ่งข้อ: เมื่อความเป็นเจ้าของไฟล์มีความสำคัญ หากคุณต้องการให้ผู้ใช้เป็นเจ้าของไฟล์ให้ล็อกอินในฐานะผู้ใช้นั้นและใช้ sudo เพื่อ donwload หรือคัดลอกไฟล์ ตัวอย่างง่ายๆคือไฟล์คั่นหน้าและไฟล์ภาพพื้นหลัง หากผู้ใช้ไม่ได้เป็นเจ้าของไฟล์บุ๊กมาร์ก "คืนค่า" จาก "ไฟล์" ของ Firefox จะล้มเหลว เมื่อคุณตั้งค่ารูปพื้นหลังเดสก์ท็อปมันอาจไม่ทำงานจนกว่าคุณจะเป็นเจ้าของไฟล์ บางครั้งคุณสามารถตั้งค่าสิทธิพิเศษหรือเปิดใช้งานเป็นไฟล์ที่ปฏิบัติการได้ แต่การตั้งค่าหรือโปรแกรมบางอย่างอาจล้มเหลวหากคุณไม่ใช่เจ้าของไฟล์