Was sind die Vorteile von sudo gegenüber su?

Was ist der tatsächliche Nutzen, den Ubuntu (oder Debian-Derivate) durch die Deaktivierung des Root-Benutzers erzielen?

Überall, wo ich lese, heißt es, dass unbeabsichtigte Schäden für unerfahrene Benutzer verhindert werden sollen. Ich möchte was genau wissen, da sudoich alle Befehle ausführen kann (die ich kenne / benutze).

In welchem ​​Fall kann die Wurzel Schaden anrichten, wohingegen sudodies nicht möglich ist?

PS: Ich weiß wie sudodas geht.

In welchem ​​Fall kann root Schaden anrichten, während sudo dies nicht kann?

Da Sie normalerweise sudojedes Mal aufrufen müssen, wenn Sie etwas tun möchten, das Privilegien erfordert, ist die Begründung, dass Sie "denken, bevor Sie springen", dh nicht einfach sudo vor etwas halten, ohne eine Sekunde darüber nachzudenken, welchen Befehl Sie ausführen wird tun.

Mit suauf der anderen Seite, wenn Sie in sind, sind Sie in. Sie carte blanche haben (eine offene Lizenz) alles zu tun, und die Begründung ist , dass Sie für einen Moment vergessen könnten , dass Sie diese Privilegien haben und wenn Sie haben Pech, führen Sie etwas aus, das Ihr System ernsthaft beeinträchtigt / beschädigt. Wenn Sie keine su-Berechtigungen hatten, hätte der Befehl nichts Ernstes getan.

IMO Die Hauptvorteile von sudo gegenüber su sind, dass sudo eine überlegene Protokollierung der ausgeführten Befehle hat und sudo eine genauere Kontrolle darüber gibt, was Benutzer tun können.

su ist alles oder nichts, aber sudo kann so konfiguriert werden, dass auf einige, aber nicht alle Befehle zugegriffen werden kann.

Eine ausführlichere Beschreibung mit Vor- und Nachteilen finden Sie unter https://help.ubuntu.com/community/RootSudo .

su -

Wenn Sie als root angemeldet sind , werden alle Aufgaben, Aktionen oder zufälligen Ereignisse, die durch den Besuch einer bestimmten Website usw. verursacht werden, als Superuser ausgeführt .

sudo

Wenn Sie sudo aufrufen , während Sie einen Befehl ausführen, wird nur dieser Befehl als Superuser ausgeführt .

Sie werden nach Ihrem Passwort gefragt , bevor der Befehl ausgeführt wird. Daher ist auch eine Benutzerinteraktion durch Sie erforderlich .

Versuche, sudo aufzurufen, können ebenfalls protokolliert werden .

Es geht um die Benutzer- / Passwortverwaltung für Sysadmins.

Wenn Sie mehrere Benutzer haben, sollten diese über separate Konten verfügen und mit diesen Konten nachverfolgt werden können. Das bedeutet, dass Menschen ihre Identität nicht verbergen können. Wenn Sie bestimmte Benutzerberechtigungen widerrufen müssen, müssen Sie auch das root-Passwort nicht zurücksetzen. Wenn Sie jeder Person in einer Umgebung mit mehr als 2 Administratoren das root-Passwort geben, wird dies zu einem Albtraum, wenn eine Person beendet wird. Sie müssen es nicht nur ändern, sondern auch mitteilen usw. All diese Dinge müssen auch passieren, wenn einer von ihnen einen Laptop gestohlen hat oder ähnliches. Ein Account mit einem Passwort pro Person vereinfacht die Administration. Es ähnelt der Philosophie, warum jeder Dienst einen eigenen Account haben sollte. Wenn ein Konto gefährdet ist, müssen Sie kein weiteres Dutzend Dienste (z. B. Sicherungsaufgaben) neu konfigurieren, um ein anderes Konto zu verwenden.

Ich finde es auch persönlich bequem, kein weiteres Passwort zu haben, um den Überblick zu behalten, zu verlieren und kompromittiert zu haben. Unter RHEL deaktiviere ich das Root-Konto nach der Konfiguration von sudo speziell, damit ich es nicht nachverfolgen muss. Hin und wieder schreibt ein Benutzer die sudo-Datei, dies kann jedoch im Einzelbenutzermodus behoben werden. (Natürlich ist es normalerweise eine Produktionsmaschine.)

HINWEIS: Mit 'sudo bash' können Sie die Eingabe von sudo für jeden Befehl überspringen ...

Ich denke zuerst müssen wir untersuchen, was su und sudo eigentlich sind

su - steht für Substitute User. Sie verwenden diese Option, um mit dem Kennwort dieses Benutzers als anderer Benutzer zu einer Shell zu wechseln. Wird häufig mit root verwendet. Für die Ausführung als root ist kein Kennwort erforderlich.

sudo - Ermöglicht einem berechtigten Benutzer, einen bestimmten Befehl als anderer Benutzer auszuführen. Wird auch häufig mit root verwendet. Auf diese Weise können Sie jedoch gezielt steuern, welche Befehle als andere Verwendung ausgeführt werden können. (Sie könnten beispielsweise einem Benutzer die Möglichkeit geben, ein init.d-Skript auszuführen, aber sonst nichts.)

Beachten Sie, dass Sie jederzeit sudo suoder ausführen sudo -ikönnen. Dadurch erhalten Sie eine Root-Shell. Kein root-Passwort bedeutet jedoch, dass Sie sich nicht direkt als root anmelden müssen. Dies bedeutet, dass niemand in diesen Benutzer eindringen kann.

BEARBEITEN: Vielleicht lautet die Antwort, nach der Sie suchen sudo,: Wenn Sie kein Root-Passwort haben, werden Sie gezwungen, dieses zu verwenden , was Sie natürlich mit der sudoPhilosophie in Einklang bringt, die vorschlägt, eine größere Kontrolle über die als Root ausgeführten Aktionen zu erzwingen.

Darüber hinaus müssen Überlegungen zur Protokollierung zwischen sudo und su berücksichtigt werden. Su zu sein macht einfach alles als root ohne Eintrag außer einer Zeile im Authentifizierungsprotokoll, die besagt, dass Sie root geworden sind.

Sudo auf der anderen Seite - wird immer als Ihre Benutzer-ID mit eskalierten Privilegien protokolliert.

Normalerweise ist es einfacher, sich als su anzumelden, wenn Sie administrative Aufgaben ausführen. Es gibt jedoch mindestens eine Ausnahme: Wenn es um Dateieigentum geht. Wenn Sie einen Benutzer als Eigentümer einer Datei benötigen, melden Sie sich als dieser Benutzer an und verwenden Sie sudo, um Dateien herunterzuladen oder zu kopieren. Einfache Beispiele sind Lesezeichen und Hintergrundbilddateien. Wenn ein Benutzer die Datei nicht besitzt, schlägt das Firefox-Lesezeichen "Aus Datei" "Wiederherstellen" fehl. Wenn Sie ein Desktop-Hintergrundbild festlegen, funktioniert es möglicherweise nur, wenn Sie Eigentümer der Datei sind. Manchmal können Sie nur Berechtigungen festlegen oder als ausführbare Datei aktivieren, aber einige Einstellungen oder Programme schlagen fehl, wenn Sie nicht der Eigentümer einer Datei sind.