Linux sudo用户提权与日志审计

一、格式说明及常用配置选项

格式： 用户或组 主机=授权可以使用哪个用户的权限 可以执行的命令

User_Alias 用户定义别名（别名可以是用户，用户组（用户组前面要加%））
例：User_Alias OLD_ADMINS=wt

Runas_Alias 定义runas别名（sudo允许切换到的用户身份）
例：Runas_Alias OP=root

Cmnd_Alias 定义命令别名
例：Cmnd_Alias USERCMD=/usr/sbin/useradd

注意事项：如果别名后面有多个用户或命令，可以使用"，"隔开；如果使用的是组，在组前面需要加"%"；如果配置语句太长，可以使用"\"换行；需要特别注意的是，所有定义的别名都需要大写

二、配置一个范例

1、创建一个新用户

 [root@WT ~]# useradd wt
 [root@WT ~]# echo "wt"|passwd --stdin wt
 Changing password for user wt.
 passwd: all authentication tokens updated successfully.

2、执行visudo命令在最下面添加如下配置，实现sudo提权

#My sudo configuration
User_Alias OLD_ADMINS=wt
Runas_Alias OP=root
Cmnd_Alias USERCMD=/usr/sbin/useradd

OLD_ADMINS ALL=(OP) USERCMD

3、切换到wt用户，并执行查看wt所拥有的权限（可以看到wt这个普通用户已经拥有创建用户命令的useradd命令了）

 [root@WT ~]# su - wt
 Last login: Thu Sep  :: CST  on pts/
 [wt@WT ~]$ sudo -l

 We trust you have received the usual lecture from the local System
 Administrator. It usually boils down to these three things:

     #) Respect the privacy of others.
     #) Think before you type.
     #) With great power comes great responsibility.

 [sudo] password for wt:
 Matching Defaults entries for wt on WT:
     !visiblepw, always_set_home, match_group_by_gid, env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR
     LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE", env_keep+="LC_COLLATE
     LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
     env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY", secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin

 User wt may run the following commands on WT:
     (root) /usr/sbin/useradd

4、试在普通用户wt用户创建一个test用户

 [wt@WT ~]$ sudo useradd test
 [wt@WT ~]$ id test
 uid=(test) gid=(test) groups=(test)

三、配置日志审计

1、配置日志审计

[root@WT ~]# rpm -aq sudo rsyslog
rsyslog-8.24.-.el7.x86_64
sudo-1.8.19p2-.el7.x86_64
[root@WT ~]# echo "Defaults     logfile=/var/log/sudo.log">>/etc/sudoers
[root@WT ~]# visudo -c
/etc/sudoers: parsed OK

2、切换到普通用户wt，创建一个普通用户test2

[root@WT ~]# su - wt
Last login: Fri Sep  :: CST  on pts/
[wt@WT ~]$ sudo useradd test2
[sudo] password for wt: 

3、切换到root用户，查看/var/log/sudo.log的内容

 [root@WT ~]# cat /var/log/sudo.log
 Sep  :: : wt : TTY=pts/ ; PWD=/home/wt ; USER=root ;
     COMMAND=/sbin/useradd test2