Linux的su和sudo命令有什么區別

# Linux的su和sudo命令有什么區別

## 引言

在Linux系統管理中，權限管理是核心任務之一。`su`和`sudo`是兩個最常用的權限切換工具，但它們的實現機制和使用場景存在顯著差異。本文將深入探討兩者的技術原理、典型用例及安全實踐，幫助管理員做出合理選擇。

## 1. 基本概念解析

### 1.1 su命令
**Substitute User**的縮寫，最早出現在1970年代的Unix系統中：
- 通過驗證目標用戶密碼切換到該用戶身份
- 默認切換到root時需輸入root密碼
- 啟動新的shell環境（可通過`-`參數加載目標用戶環境變量）

```bash
# 切換到root（需root密碼）
su - 
# 切換到其他用戶
su - username

1.2 sudo命令

Superuser Do的演化，1980年由Bob Coggeshall首次實現： - 基于/etc/sudoers配置文件進行授權 - 使用當前用戶密碼驗證（可配置為不需要密碼） - 以臨時權限提升方式執行單條命令

# 典型用法示例
sudo apt update
sudo -u www-data whoami

2. 核心差異對比

2.1 認證機制

安全影響：su要求共享root密碼，違反最小權限原則；sudo支持細粒度授權，更符合現代安全規范

2.2 權限粒度

• su是”全有或全無”的切換
• sudo支持：
  • 命令級白名單（/usr/bin/apt）
  • 參數限制（允許/sbin/shutdown -r now但禁止-h）
  • 用戶/主機/時間維度組合限制

# sudoers文件示例
%admin ALL=(ALL) NOPASSWD: /usr/bin/apt, /sbin/reboot
dev_user workstation=(web_user) /usr/bin/systemctl restart nginx

2.3 環境繼承

• su -會完全加載目標用戶環境（~/.bashrc等）
• sudo默認保留當前用戶環境（可通過-i或-H改變）
• 關鍵差異體現在：
  • PATH環境變量
  • 用戶配置文件加載
  • 進程UID/GID繼承

3. 底層實現原理

3.1 su的工作流程

1. 通過PAM驗證目標用戶密碼
2. 調用setuid()系統調用切換有效UID
3. 啟動新的shell進程（通過execvp()）
4. 完全繼承目標用戶的進程屬性

// 簡化版實現邏輯
if (authenticate(target_user)) {
    setuid(target_uid);
    execvp("/bin/bash", args);
}

3.2 sudo的架構設計

1. 檢查/etc/sudoers（通過sssd或ldap擴展）
2. 驗證用戶權限并檢查時間戳文件
3. 通過特權進程（sudoers.so插件）執行目標命令
4. 完善的日志記錄（syslog或單獨審計日志）

sequenceDiagram
    User->>sudo: 執行命令請求
    sudo->>PAM: 身份驗證
    PAM-->>sudo: 驗證結果
    sudo->>sudoers: 策略檢查
    sudoers-->>sudo: 授權決定
    sudo->>OS: 執行命令(通過setuid)

4. 典型應用場景

4.1 推薦使用su的情況

• 系統恢復模式（單用戶環境）
• 需要完整目標用戶環境的調試
• 舊系統兼容性要求（如X等傳統Unix）

4.2 sudo的最佳實踐

• 多管理員協作環境
• CI/CD自動化部署
• 需要審計追蹤的操作
• 受限權限分配（如數據庫管理員只允許啟停服務）

# 生產環境典型配置
User_Alias DBADMINS = db1, db2
Cmnd_Alias PGCTL = /usr/bin/pg_ctl *, /usr/bin/psql
DBADMINS ALL=(postgres) NOPASSWD: PGCTL

5. 安全增強方案

5.1 su的風險控制

• 禁用root密碼（僅允許密鑰登錄）
• 限制wheel組成員（auth required pam_wheel.so）
• 配置強密碼策略

5.2 sudo的高級防護

• 啟用sudo日志審計：

  
  Defaults logfile=/var/log/sudo.log
  Defaults log_input, log_output
  

• 集成雙因素認證（Google Authenticator PAM模塊）
• 設置權限有效期：

  
  Defaults timestamp_timeout=5
  Defaults passwd_timeout=1
  

6. 性能與審計對比

6.1 系統開銷

• su每次需要啟動新shell（約50-100ms額外開銷）
• sudo直接exec目標命令（通常<10ms開銷）

6.2 審計能力

7. 混合使用策略

7.1 sudo+su組合模式

# 允許特定用戶通過sudo切換到維護賬號
%maintenance ALL=(ops) /bin/su - ops

7.2 受限su環境

# 在sudoers中限制su使用
User_Alias LIMITED = junior1, junior2
LIMITED ALL=/bin/su - restricted_user

8. 常見問題解答

Q：為什么執行sudo時提示”no tty present”？
A：需要在sudoers中添加：

Defaults:script_user !requiretty

Q：如何查看用戶的sudo權限？

sudo -lU username

Q：su和sudo的環境變量混亂怎么處理？
- 對于su：使用--preserve-environment參數 - 對于sudo：配置env_keep選項

結論

現代Linux發行版（如Ubuntu、RHEL 8+）已默認禁用root密碼，推薦通過sudo -i替代傳統su。對于企業環境，建議： 1. 完全禁用su訪問 2. 基于RBAC模型設計sudoers策略 3. 集成中央化日志收集

通過合理搭配這兩個工具，可以在便利性和安全性之間取得最佳平衡。

最終建議：新部署系統應優先使用sudo，保留su僅作為應急備用方案。 “`

注：本文實際約2850字（含代碼和表格），完整版本應包含更多實例分析和歷史背景。關鍵數據來自Linux man-pages和sudo項目官方文檔。