Linux 提权管理大多数时候Linux系统管理员以非特权用户身份登录系统并使用工具暂时获得特权用户root管理系统。su 命令切换完整用户身份su 的作用是直接切换成另一个账号包括 root 管理员切换后拥有对方完整权限。suroot# 仅切换 root 身份不加载 root 环境变量易出问题不推荐。su-# 完整登录 root自动切换 root 家目录、加载完整环境需输入 root 密码推荐使用。su- 普通用户名# 完整切换到指定普通用户输入该用户密码。su- root-c指令# 临时用 root 执行一条命令执行完自动切回原账号。# 不加用户名的 nologin shell[xiaomacentos7 ~13:59:44]$suPassword:redhat# 很多环境变量仍保留为xiaoma用户[xiaomacentos7 ~14:00:15]$env|grepxiaomaHOSTNAMEcentos7.xiaoma.cloudUSERxiaomaMAIL/var/spool/mail/xiaomaPATH/usr/local/bin:/usr/bin:/usr/local/sbin:/usr/sbin:/home/xiaoma/.local/bin:/home/xiaoma/binPWD/home/xiaomaHOME/home/xiaomaLOGNAMExiaomaXDG_DATA_DIRS/home/xiaoma/.local/share/flatpak/exports/share:/var/lib/flatpak/exports/share:/usr/local/share:/usr/share# 不加用户名的 login shell[xiaomacentos7 ~14:01:38]$su-l密码 上一次登录六7月1814:00:13 CST 2026pts/1 上# 所有环境变量都更改为了root用户[rootcentos7 ~14:03:22]# set | grep xiaoma提示尽可能使用 loging shell 登录。# 添加一个用户[rootcentos7 ~13:59:39]# useradd laowang# 设置密码为redhat[rootcentos7 ~14:05:39]# echo redhat | passwd --stdin laowang更改用户 laowang 的密码 。 passwd所有的身份验证令牌已经成功更新。[rootcentos7 ~14:06:05]# grep laowang /etc/passwdlaowang:x:1001:1001::/home/laowang:/bin/bash# 以特定用户身份执行特定命令[rootcentos7 ~14:06:59]# su -l laowang -c iduid1001(laowang)gid1001(laowang)组1001(laowang)环境unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023# 加单引号[rootcentos7 ~14:07:30]# su -l laowang -c cat /etc/hosts127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4 ::1 localhost localhost.localdomain localhost6 localhost6.localdomain6# 不加单引号[xiaomacentos7 ~14:10:28]$su-llaowang-ccat/etc/hosts 密码 hello hello# 原因没有把 cat /etc/hosts 当作整体其他使用方法# 创建的文件位置在 ~xiaoma/haha[rootcentos7 ~14:09:12]# su -l -c touch haha xiaoma# 无权创建[rootcentos7 ~14:12:03]# su -c touch haha xiaomatouch: 无法创建haha:权限不够# 原因nologin shell 执行当前位置不变导致xiaoma用户无法在/root下创建# 切换 nologin shell 账户[rootcentos7 ~14:12:24]# grep adm /etc/passwdadm:x:3:4:adm:/var/adm:/sbin/nologin[rootcentos7 ~14:12:43]# su -l adm -c idThis account is currently not available.[rootcentos7 ~14:13:30]# su -l adm -s /bin/bash -c iduid3(adm)gid4(adm)组4(adm)环境unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023# 只有 root 用户可以指定 shell[rootcentos7 ~14:14:15]# su -l adm -s /bin/bash-bash-4.2$# 提示符不正常原因是家目录中缺少bash相关配置文件# 处理方法如下[rootcentos7 ~14:15:56]# grep adm /etc/passwdadm:x:3:4:adm:/var/adm:/sbin/nologin[rootcentos7 ~14:16:19]# cp /etc/skel/{.bash_profile,.bashrc} /var/adm[rootcentos7 ~14:17:03]# su adm -l -s /bin/bash上一次登录六7月1814:17:03 CST 2026pts/0 上[admcentos7 ~14:17:13]$sudo 命令临时借用管理员权限从根本上说Linux实现了一个非常粗糙的获得权限模型root 可以做任何事情其他用户与系统相关什么也不能做。sudo 核心优势不用共享 root 密码每个人只用自己账号密码提权所有 sudo 操作会记录系统日志能查到谁执行过管理员指令可以精细限制用户只能执行指定几条 root 命令遵循最小权限原则。usermod-aGwheel 用户名# 给用户开通 sudo 提权权限CentOS 仅 wheel 组可 sudo。sudo指令# 临时以 root 权限运行指令输入自己账号密码无需 root 密码。sudo-i# 完整进入 root 交互终端加载全部 root 环境。sudo-l# 查看当前账号允许执行的 sudo 权限。visudo# 编辑 sudo 权限配置文件自带语法检测避免配置损坏。# 有sudo权限的用户输入自己的密码确认是否是本人在操作[xiaomacentos7 ~15:05:10]$sudoid[sudo]passwordforxiaoma:uid0(root)gid0(root)groups0(root)contextunconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023# 没有sudo权限的用户[laowangcentos7 ~15:06:01]$sudoidWe trust you have received the usual lecture from thelocalSystem Administrator. It usually boils down to these three things:#1) Respect the privacy of others.#2) Think before you type.#3) With great power comes great responsibility.[sudo]passwordforlaowang: laowang is notinthe sudoers file. This incident will be reported.sudo 配置[rootcentos7 ~15:07:22]# export EDITORvim[rootcentos7 ~15:07:50]# visudo# 其中两条记录wheel组中成员可以以任何用户身份执行任何命令rootALL(ALL)ALL# 组以%开头%wheelALL(ALL)ALL示例1# laowang 记录如下laowangALL(ALL)ALL[laowangcentos7 ~]$sudoid[sudo]passwordforlaowang:uid0(root)gid0(root)groups0(root)contextunconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023**示例2**不需要输入密码情况下直接执行命令。# laowang 记录如下laowangALL(ALL)NOPASSWD:ALL[laowangcentos7 ~15:1250]$sudoiduid0(root)gid0(root)groups0(root)contextunconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023**示例3**只能够执行特定命令。# laowang 记录如下laowangALL(ALL)/sbin/useradd,/sbin/usermod,/sbin/userdel[laowangcentos7 ~15:1530]$sudoid[sudo]passwordforlaowang:uid0(root)gid0(root)groups0(root)contextunconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023q[laowangcentos7 ~15:1611]$sudouseraddlaozhang[sudo]passwordforlaowang:[laowangcentos7 ~15:1520]$idlaozhanguid1002(laozhang)gid1002(laozhang)groups1002(laozhang)**总结**在分配命令的时候切记只给用户特定功能的命令例如用户管理相关命令而不是通用功能的工具例如 vim。配置文件路径主配置文件/etc/sudoers正常情况不要修改。从配置文件/etc/sudoer.d/*如果想添加配置在此处添加。示例[rootcentos7 ~]# echo laowang ALL(ALL) NOPASSWD:ALL /etc/sudoers.d/laowang[rootcentos7 ~]# cat /etc/sudoers.d/laowanglaowangALL(ALL)NOPASSWD:ALL命令别名Cmnd_Alias SOFTWARE/bin/rpm, /usr/bin/up2date, /usr/bin/yum# sys组中成员执行以下命令别名中的所有命令%sys ALLNETWORKING,# 网络管理员SOFTWARE,# 软件管理员SERVICES,# 服务管理员STORAGE,# 存储管理员DELEGATING,# 权限管理员委派PROCESSES,# 进程管理员LOCATE,# 文件系统更新DRIVERS# 驱动管理员提权总结su 和 sudo 核心区别对比su逻辑完整切换成另一个用户需要输入目标账号的密码切 root 必须知道 root 密码适用场景单人本地虚拟机、单机私用测试风险点多人共用服务器会泄露 root 密码无法细分权限管控sudo逻辑临时借用 root 权限执行单条指令输入当前自己账号的密码前置条件用户必须加入 wheel 组适用场景企业多人运维、线上生产服务器首选优势操作留审计日志、无需共享 root 密码、可精细化管控权限