Linux / Befehl sudo: Befehle mit erhöhten Rechten oder den Rechten eines anderen Benutzers ausführen

sudo ist ein Werkzeug, das es einem Benutzer, der durch Sicherheitsrichtlinien dazu berechtigt ist, erlaubt, einen Befehl mit den Rechten eines anderen Benutzers auszuführen. Wenn der Zielbenutzer nicht angegeben ist, läuft es im Allgemeinen als root, aber die tatsächlichen Rechte und Authentifizierungsmethoden werden entsprechend der Sudo-Richtlinie des Systems bestimmt.

Es ist nützlich für Aufgaben, die administrative Rechte erfordern, wie z. B. das Installieren von Paketen oder das Verwalten von Diensten, aber wenn ein Befehl falsch eingegeben wird, kann dies das gesamte System beeinflussen. Vor der Ausführung ist es entscheidend, die Ziel-Dateien und Optionen zu überprüfen und nur die für die erforderlichen Befehle notwendigen Mindestrechte zu gewähren.

Was ist der sudo-Befehl?

sudo ermöglicht es autorisierten Benutzern, Befehle als Superuser oder ein anderer Benutzer auszuführen. Es ist nicht einfach ein Werkzeug, um allen Benutzern administrative Rechte zu geben, sondern eine Struktur, die nach Richtlinien steuert, wer welchen Befehl mit welchen Benutzerrechten auf welchem Host ausführen darf.

Das Standard-Policy-Plugin ist sudoers, und es verwendet typischerweise Einstellungen von /etc/sudoers und /etc/sudoers.d/. Das System vergleicht die Ausführungsanfrage mit der Richtlinie und authentifiziert bei Bedarf den Benutzer, bevor nur die erlaubten Befehle ausgeführt werden.

Sie können die detaillierte Ausführungsmethode auf der offiziellen sudo-Handbuchseite nachlesen und die Richtliniensyntax auf der offiziellen sudoers-Handbuchseite.

Grundlegende Syntax und erste Ausführung

Die allgemeine Syntax lautet wie folgt.

sudo [options] command [arguments...]

Ein Beispiel für die Aktualisierung der Paketliste auf Debian- oder Ubuntu-Systemen ist wie folgt.

sudo apt update

Wenn eine Authentifizierung erforderlich ist, wird normalerweise nach dem Passwort des aktuell angemeldeten Benutzers gefragt. Einige Implementierungen und Einstellungen verbergen die Passworteingabe, während das standardmäßige sudo-rs auf Ubuntu 26.04 Sternchen-Feedback anzeigt. Das Anzeigeverhalten hängt vom Anbieter und der pwfeedback-Richtlinie ab; es unterscheidet nicht von selbst zwischen normalem Betrieb und einem Fehler. Je nach Systemrichtlinie kann das Passwort des Zielbenutzers oder eine andere Authentifizierungsmethode erforderlich sein.

Wenn die Berechtigung erteilt wird und die Authentifizierung erfolgreich ist, läuft nur der apt update-Prozess mit der Zielberechtigung. Die gesamte aktuelle Shell wechselt nicht automatisch zu einer Administratorshell.

Häufig verwendete sudo-Optionen

Als ein anderer Benutzer ausführen

Geben Sie den Zielbenutzer mit -u an

Wenn der Zielbenutzer ausgelassen wird, wird normalerweise root verwendet. Durch Angabe von -u können Sie als ein anderer, von der Richtlinie erlaubter Benutzer ausführen.

sudo -u postgres psql

Dies ist nützlich, wenn Sie Befehle im Kontext der Dateiberechtigungen oder Umgebung eines Dienstkontos ausführen müssen. Einige Dienstkonten haben jedoch eingeschränkte Login-Shells, prüfen Sie daher zuerst den Zweck und die Richtlinie des Kontos.

Überprüfung des Ausführungsbenutzers

Um schnell zu überprüfen, welche Benutzerberechtigungen die aktuelle Richtlinie tatsächlich gewährt, können Sie id verwenden.

sudo id

sudo -u postgres id

Die tatsächliche Ausgabe hängt von der Benutzer- und Gruppenkonfiguration des Systems ab. Für eine einfache Überprüfung ist die Inspektion einzelner Befehle gezielter als das Öffnen einer Administratorshell.

Überprüfen der erlaubten Berechtigungen und des Authentifizierungscaches

Befehle überprüfen, die mit sudo -l ausgeführt werden können

sudo -l zeigt die Standardeinstellungen und die Befehle, die für den aktuellen Benutzer ausgeführt werden können. Sie können zuerst überprüfen, bevor Sie zufällig Einstellungen ändern, wenn Sie auf einen Berechtigungsfehler stoßen.

sudo -l

Administratoren können die Richtlinien anderer Benutzer mit -U überprüfen, wenn sie über Privilegien verfügen, aber normale Benutzer überprüfen normalerweise nur ihre eigenen Berechtigungen.

Authentifizierung mit sudo -v erneuern

sudo -v überprüft oder erneuert gespeicherte Authentifizierungsinformationen, ohne einen Befehl auszuführen. Es kann verwendet werden, um den Authentifizierungsstatus vorzubereiten, bevor mehrere administrative Befehle gestartet werden.

sudo -v

Die standardmäßige Zeit und der Umfang des Authentifizierungscaches hängen von der sudoers-Richtlinie ab. Dass für einen bestimmten Zeitraum kein Passwort abgefragt wird, erlaubt nicht alle Befehle, und jeder Befehl wird weiterhin einer Richtlinienprüfung unterzogen.

Authentifizierungsstatus mit sudo -k löschen

Verwenden Sie sudo -k, wenn Sie bei der nächsten Ausführung eine erneute Authentifizierung verlangen möchten, nachdem Sie einen öffentlichen Terminal verwendet oder administrative Aufgaben abgeschlossen haben.

sudo -k

-K entfernt vollständig den Authentifizierungszeitstempel des Benutzers. Überprüfen Sie Ihre installierte sudo-Version und Richtlinie auf detaillierte Unterschiede.

Punkte, auf die bei der Verkettung von Befehlen und Pipes zu achten ist

sudo gilt nur für den unmittelbar folgenden Befehl

Nur der erste apt update im folgenden Befehl wird mit sudo ausgeführt. Der nachfolgende apt upgrade läuft mit den Berechtigungen des aktuellen Benutzers.

sudo apt update && apt upgrade

Wenn beide Befehle Administratorrechte benötigen, ist die klarste Methode, sudo vor jeden Befehl zu setzen.

sudo apt update && sudo apt upgrade

Um die Ausführungsbedingungen von Verbindungsoperatoren genau zu verstehen, können Sie auch How to Use Bash Command Connection Operators konsultieren.

Beide Seiten einer Pipe sind separate Prozesse

Jeder durch eine Pipe verbundene Befehl wird separat ausgeführt. Im folgenden Beispiel wird nur der erste Befehl mit Zielberechtigungen ausgeführt, und grep läuft als aktueller Benutzer.

sudo some-command | grep 'pattern'

Der Nur-Lese-Filterbefehl erfordert oft nur normale Benutzerrechte. Anstatt der gesamten Pipeline hohe Berechtigungen zu geben, beschränken Sie sie nur auf die Schritte, die tatsächlich erhöhte Berechtigungen benötigen.

Das Ausführen einer gesamten Shell hat einen weiten Umfang

Sie können mehrere Befehle in einer Shell mit Zielberechtigungen wie sudo sh -c 'command1 && command2' ausführen, aber die Anführungszeichenregeln werden komplex und der Berechtigungsbereich ist breit. Für einfache Aufgaben ist es vorzuziehen, sudo für jeden Befehl anzugeben, da dies Überprüfung und Protokollierung zugutekommt.

Warum Berechtigung verweigert bei Umleitung auftritt

Die Umleitung der Ausgabe wird von der aktuellen Shell gehandhabt

Der folgende Befehl führt nur echo mit administrativen Rechten aus. Die >-Umleitung wird von der aktuellen Shell verarbeitet, bevor sudo ausgeführt wird, sodass möglicherweise keine geschützten Dateien geöffnet werden können.

sudo echo 'value' > /etc/example.conf

Erhöhen Sie die Berechtigungen nur für notwendige Schreibvorgänge mit tee

Wenn Sie eine kurze Zeile hinzufügen oder überschreiben müssen, können Sie die Standardeingabe an sudo tee übergeben.

printf '%s\n' 'value' | sudo tee /etc/example.conf > /dev/null

Um an eine vorhandene Datei anzuhängen, verwenden Sie tee -a. Stellen Sie sicher, dass Sie den Zielpfad und die Frage, ob überschrieben werden soll, prüfen, bevor Sie den Befehl ausführen.

printf '%s\n' 'value' | sudo tee -a /etc/example.conf > /dev/null

Bearbeiten Sie Konfigurationsdateien mit sudoedit

Wenn Sie mehrere Zeilen von Einstellungen ändern müssen, ist sudoedit geeigneter. Es ermöglicht Ihnen, eine temporäre Kopie als aktueller Benutzer gemäß der Richtlinie zu bearbeiten, die Änderungen dann aber in die Originaldatei zu übernehmen.

sudoedit /etc/example.conf

Dies reduziert den Umfang der Berechtigungen im Vergleich zum Ausführen des gesamten Editors mit administrativen Rechten, aber die tatsächlichen Einschränkungen für symbolische Links und beschreibbare Verzeichnisse hängen von der sudo-Version und der Richtlinie ab.

Administrative Shell: sudo -i und sudo -s

In der Administrator-Shell wird sudo für jeden nachfolgenden Befehl nicht angezeigt, was es schwierig macht, die Auswirkungen von Fehlern einzuschätzen. Für ein oder zwei Aufgaben verwenden Sie das sudo command-Format anstelle der Administrator-Shell, und wenn Sie eine Shell öffnen, überprüfen Sie kontinuierlich die Eingabeaufforderung sowie den aktuellen Benutzer und das Arbeitsverzeichnis.

sudoers mit visudo ändern

Warum sollten Sie es nicht direkt bearbeiten?

Wenn ein Syntaxfehler in /etc/sudoers vorliegt, funktioniert sudo möglicherweise selbst nicht. visudo sperrt die Datei, um gleichzeitige Bearbeitung zu verhindern, und überprüft die grundlegende Gültigkeit und Syntax vor dem Speichern.

sudo visudo

Sie können das sichere Bearbeitungsverfahren auf der offiziellen visudo-Handbuchseite nachlesen.

Verwendung separater sudoers.d-Dateien

Um Regeln nach Rolle zu trennen, können Sie separate Dateien unter /etc/sudoers.d/ erstellen. Bestätigen Sie zuerst, dass die Standard-sudoers auf Ihrem System dieses Verzeichnis enthält, und prüfen Sie auch die Regeln für Dateinamen.

sudo visudo -f /etc/sudoers.d/service-maintenance

Einige Sudoers-Konfigurationen können Elemente mit Punkten im Dateinamen oder solchen, die mit einer Tilde enden, ignorieren, daher ist es sicherer, einfache Namen mit Buchstaben, Zahlen und Bindestrichen zu verwenden.

Überprüfen Sie die gesamte Syntax nach der Änderung

Um die Syntax der bestehenden Sudoers- und eingeschlossenen Dateien zu überprüfen, verwenden Sie den folgenden Befehl.

sudo visudo -c

Eine erfolgreiche Überprüfung bedeutet nicht, dass das Berechtigungsdesign sicher ist. Es wird empfohlen, eine separate Administratorsitzung zu führen, sudo -l als Zielbenutzer zu verwenden, erlaubte/verbotene Aktionen zu testen und anschließend die Sitzung zu beenden.

Grundstruktur der Sudoers-Regeln

Sudoers-Regeln kombinieren konzeptionell die folgenden Elemente.

user host=(runuser:rungroup) tag: command

Das Folgende ist ein Beispiel, das den Benutzer deploy darauf beschränkt, nur Neustarts und Statusprüfungen bestimmter Dienste als Root durchzuführen. Vor der tatsächlichen Anwendung sollten Sie überprüfen, ob der Befehl indirekt die Ausführung anderer Befehle oder die Änderung von Dateien erlaubt.

deploy ALL=(root) /usr/bin/systemctl restart webapp.service, /usr/bin/systemctl is-active webapp.service

Da der tatsächliche Pfad von ausführbaren Dateien je nach System variieren kann, überprüfen Sie dies mit Befehlen wie command -v systemctl. Wenn ausführbare Dateien in Skripten, die der Benutzer ändern kann, oder in vom Benutzer beschreibbaren Verzeichnissen in sudoers erlaubt sind, kann der Benutzer deren Inhalt ändern, um beliebige Befehle mit erhöhten Rechten auszuführen.

Gestalten Sie sudoers nach dem Prinzip der minimalen Rechte

Vermeiden Sie die regelmäßige Nutzung von ALL und NOPASSWD

Regeln wie ALL=(ALL) NOPASSWD: ALL gewähren effektiv umfassende unbeaufsichtigte Administratorrechte. Selbst wenn Automatisierung notwendig ist, sollten Sie sie mit dedizierten Konten, festen ausführbaren Dateien und Argumenten, Logs, Schutz von Geheimnissen und Aufrufpfaden gestalten.

Seien Sie vorsichtig bei Programmen, die in eine Shell ausbrechen können

Programme, die Editoren, Pager, Shells aufrufen, beliebige Dateien schreiben oder Plugins laden können, erscheinen möglicherweise wie eingeschränkte Befehle, können aber zu einer administrativen Shell führen. Beurteilen Sie die Sicherheit nicht nur anhand des Befehlsnamens; überprüfen Sie die vollständige Funktionalität des Programms, die Umgebungsvariablen und die Konfigurationsdateien.

Befehlspfade und Argumente gezielt einschränken

Geben Sie Befehle mit absoluten Pfaden an und fixieren Sie, wenn möglich, die erlaubten Argumente. Platzhalter und Negationsregeln können unerwartete Pfade abgleichen oder umgangen werden, daher müssen Sie die Befehlsabgleichregeln von sudoers vor der Verwendung vollständig verstehen.

Berechtigungsänderungen protokollieren und regelmäßig überprüfen

Für Änderungen der Sudo-Richtlinien wird empfohlen, den Anforderer, den Prüfer, den Zweck und die Ablaufbedingungen zu dokumentieren. Entfernen Sie nicht verwendete Konten und Regeln und überprüfen Sie regelmäßig auf übermäßige Berechtigungen basierend auf den tatsächlichen Protokollen und den Ergebnissen von sudo -l.

Gründe, warum sich Umgebungsvariablen und Pfade ändern

Sudo kann die Umgebung möglicherweise nicht unverändert kopieren

Die Standardeinstellungen der sudoers können gefährliche Umgebungsvariablen entfernen oder eine eingeschränkte Umgebung einrichten. PATH, HOME, Proxy-Variablen oder Spracheinstellungen können sich von Ihrer üblichen Shell unterscheiden, was das Verhalten von Befehlen ändern kann.

sudo env

Um Probleme zu beheben, können Sie es mit der env-Ausgabe eines regulären Benutzers vergleichen, aber überprüfen Sie den Inhalt, bevor Sie ihn teilen, da er Token oder vertrauliche Informationen enthalten kann.

Verwenden Sie sudo -E vorsichtig

-E fordert gemäß Richtlinie die Beibehaltung der Umgebung des aufrufenden Benutzers an. Die Richtlinie kann dies verweigern, und Umgebungswerte wie Bibliothekspfade, Proxys und Ausführungspfade können das Verhalten von Programmen verändern, die mit erhöhten Rechten ausgeführt werden. Es ist im Allgemeinen sicherer, in sudoers nur die notwendigen Variablen explizit zu erlauben.

Verwendung von sudo in der Automatisierung

Verwenden Sie -n, um das Warten auf ein Passwort zu verhindern

Bei automatisierten Aufgaben kann das Warten auf eine interaktive Passworteingabe dazu führen, dass die Aufgabe stoppt. -n führt dazu, dass sie sofort fehlschlägt, wenn eine Authentifizierungseingabe erforderlich ist.

sudo -n /usr/bin/systemctl restart webapp.service

Ob sie erfolgreich ist oder fehlschlägt, sollte anhand des Exit-Status und der Protokolle überprüft werden. Legen Sie Passwörter nicht in Skripten oder auf der Befehlszeile ab, da sie in Prozesslisten, Shell-Verläufen oder Protokollen sichtbar werden können.

Nur die notwendigen Befehle dürfen nicht-interaktiv ausgeführt werden

Wenn eine unbeaufsichtigte Ausführung erforderlich ist, erlauben Sie nur die vorgesehenen Befehle und Argumente auf einem dedizierten Service-Konto und stellen Sie sicher, dass das Konto das ausführbare Programm und die zugehörigen Einstellungen nicht ändern kann. Anstelle von umfassenden NOPASSWD-Privilegien können Sie auch auf aufgabenspezifische APIs, systemd-Dienste oder Hilfsprogramme mit eingeschränkten Berechtigungen zurückgreifen.

Häufige Fehler und Lösungen

Sicherheitsprinzipien bei der Verwendung von sudo

• Überprüfen Sie vor der Ausführung von Befehlen, die Sie aus dem Internet oder Dokumenten kopiert haben, direkt die Optionen und Zielpfade.
• Für Befehle wie sudo rm oder solche, die sich auf Festplatten, Partitionen, Firewalls und Konten beziehen, verifizieren Sie zuerst die Wiederherstellungsmethoden und mögliche Auswirkungen.
• Halten Sie keine Administrator-Shell für einen einmaligen Befehl lange offen.
• Geben Sie Passwörter, Tokens oder private Schlüssel nicht leichtfertig in der Befehlszeile, in Skripten oder Umgebungsvariablen ein.
• Gewähren Sie keine hohen Privilegien an Skripte oder ausführbare Dateien, die von Benutzern geändert werden können.
• Überprüfen Sie den Speicherort der sudo-Protokolle und die Aufbewahrungsrichtlinien, und in kritischen Umgebungen überprüfen Sie die zentrale Protokollierung und die Eingabe/Ausgabe-Prüfung.

Auch wenn sudo Befehle protokolliert, bedeutet das nicht, dass jeder einzelne Befehl, der nach sudo sh oder einem Shell-Escape ausgeführt wird, im herkömmlichen Befehlsprotokoll gespeichert wird. Bestätigen Sie, ob die Eingabe-/Ausgabeprotokollierung separat eingerichtet ist.

Häufig gestellte Fragen

Führt sudo immer mit Root-Rechten aus?

Wenn Sie den Zielbenutzer weglassen, ist standardmäßig in der Regel root eingestellt, aber Sie können einen anderen Benutzer mit -u angeben, und ob dies tatsächlich erlaubt ist, wird durch die Richtlinie bestimmt. Der entscheidende Punkt von sudo ist nicht nur die Ausführung als root, sondern das Ausführen von Befehlen mit den Berechtigungen eines anderen erlaubten Benutzers.

Warum fragt sudo nicht nach einem Passwort?

Die kürzlichen Authentifizierungsinformationen können immer noch für die von der Richtlinie festgelegte Zeit gültig sein, oder die NOPASSWD-Regel könnte für den Befehl gelten. Sie können die Richtlinie mit sudo -l überprüfen und sudo -k verwenden, um eine erneute Authentifizierung für die nächste Ausführung zu erzwingen.

Warum ändert sudo cd nicht das aktuelle Verzeichnis?

cd ist ein in die Shell eingebauter Befehl, der das Arbeitsverzeichnis der aktuellen Shell ändert. Das Ändern des Verzeichnisses in einem separaten Prozess beeinflusst die übergeordnete Shell nicht. Um einen Befehl in einem bestimmten Verzeichnis auszuführen, prüfen Sie, ob dieser Befehl eine Arbeitsverzeichnisoption unterstützt oder ob sudo -D unterstützt.

Kann die Datei sudoers mit einem normalen Editor bearbeitet werden?

Es wird nicht empfohlen. Sie müssen visudo verwenden, da ein Syntaxfehler sudo unbrauchbar machen könnte. Sie können auch einzelne Dateien mit sudo visudo -f /etc/sudoers.d/filename bearbeiten und die gesamte Konfiguration mit sudo visudo -c überprüfen.

Zusammenfassung

Für einen Befehl, der Administratorrechte erfordert, verwenden Sie sudo command. Um als ein anderer Benutzer auszuführen, verwenden Sie sudo -u user command. Sie können den erlaubten Umfang mit sudo -l überprüfen. Der Authentifizierungsstatus kann mit -v aktualisiert und nach der Arbeit mit -k ungültig gemacht werden.

Verwenden Sie visudo und sudoedit für Konfigurationsdateien und gestalten Sie sudoers-Regeln basierend auf absoluten Pfaden, festen Argumenten und minimalen Rechten. Für andere häufig verwendete Administrationsbefehle können Sie Liste der häufig verwendeten Befehle in Linux zu Rate ziehen.

Änderungen an der sudo-Eingabefunktion in Ubuntu 26.04