La commande sudo permet à un administrateur de configurer un fichier de configuration appelé /etc/sudoers et de définir des commandes spécifiques que des utilisateurs particuliers sont autorisés à exécuter sous une identité supposée.
La commande sudo ressemble à su à bien des égards, mais possède des fonctionnalités supplémentaires importantes. L'administrateur peut configurer sudo pour permettre à un utilisateur ordinaire d'exécuter des commandes en tant qu'utilisateur différent (généralement le superutilisateur) de manière contrôlée. En particulier, un utilisateur peut être limité à une ou plusieurs commandes spécifiques et pas à d'autres. Une autre différence importante est que l'utilisation de sudo ne nécessite pas l'accès au mot de passe du superutilisateur. L'authentification à l'aide de sudo nécessite le propre mot de passe de l'utilisateur. Disons, par exemple, que sudo a été configuré pour nous permettre d'exécuter un programme de sauvegarde fictif appelé backup_script, qui nécessite des privilèges de superutilisateur. Avec sudo, cela se ferait comme ceci :
$ sudo backup_script Password: System Backup Starting...
Après avoir entré la commande, on nous demande notre mot de passe (pas celui du superutilisateur), et une fois l'authentification terminée, la commande spécifiée est exécutée.
sudo V/s su
Une différence importante entre su et sudo est que sudo ne démarre pas un nouveau shell et ne charge pas l'environnement d'un autre utilisateur. Cela signifie que les commandes n'ont pas besoin d'être entre guillemets différemment qu'elles ne le seraient sans l'utilisation de sudo. Notez que ce comportement peut être remplacé en spécifiant diverses options. Notez également que sudo peut être utilisé pour démarrer une session superutilisateur interactive (un peu comme su -) en spécifiant l'option -i. Voir la page de manuel sudo pour plus de détails.
Pour voir quels privilèges sont accordés par sudo, utilisez l'option -l pour les lister.
$ sudo -l User me may run the following commands on this host: (ALL) ALL
Exemples de commande sudo
1. Pour répertorier le statut sudo actuel de l'utilisateur :
# sudo -l # sudo -U santosh -l (for specific user)
2. Pour lister longuement la sortie :
# sudo –U santosh -ll
3. Pour supprimer les informations d'identification mises en cache des utilisateurs :
# sudo -k
4. Pour obtenir une liste de fichiers d'un répertoire illisible :
# sudo ls /usr/local/protected
5. Pour afficher les journaux système accessibles uniquement à root et aux utilisateurs du groupe adm :
# sudo -g adm view /var/log/syslog
6. Pour arrêter une machine :
# sudo shutdown -r +15 "quick reboot"
7. Pour exécuter la commande en arrière-plan :
# sudo -b mount /dev/cdrom /DVD
8. Pour exécuter la commande en tant qu'autre utilisateur :
# sudo –u oracle /xyz/abc.sh
9. Pour exécuter la commande donnée en définissant le groupe principal sur le groupe donné :
# sudo –g DBA /xyz/abc.sh
10. Pour valider les informations d'identification de l'utilisateur :
# sudo –v ### updates his cached credentials, like if password has been changed.
Réflexion finale
Si vous y êtes autorisé, sudo exécute la commande en tant que superutilisateur. Les utilisateurs autorisés de sudo et les commandes qu'ils sont autorisés à exécuter sont répertoriés dans le fichier de configuration sudo, /etc/sudoers . Si un utilisateur non autorisé tente d'exécuter une commande, sudo en informera un administrateur par e-mail. Par défaut, il enverra le message au compte root. Les utilisateurs tentant d'exécuter des commandes sont invités à saisir leur mot de passe. Une fois authentifié, sudo définit un horodatage pour l'utilisateur. Pendant cinq minutes à compter de l'horodatage, l'utilisateur peut exécuter d'autres commandes sans être invité à entrer son mot de passe. Cette période de grâce peut être remplacée par les paramètres du fichier /etc/sudoers. Voir également /etc/sudoers pour des exemples de configuration.