如何限制限制sudo -s

spouter

限制有2个
1、要求非root用户不能修改root密码；
2、sudo可以做非修改密码的其他操作，例如修改配置，重启服务等等；

修改sudoer后：
修改1：
usertest    ALL=(ALL)   !/usr/sbin/visudo,!/bin/su,!/usr/bin/chattr,!/sbin/fdisk,!/bin/dd,!/usr/bin/passwd,!/usr/bin/sudo -s
不能修改root密码，也不能用sudo -s，但是sudo要使用的外部命令（服务）等都必须写全才能使用。例如启动ngx就要写上/usr/local/nginx/sbin/nginx

修改1：
usertest    ALL=ALL,!/usr/sbin/visudo,!/bin/su,!/usr/bin/chattr,!/sbin/fdisk,!/bin/dd,!/usr/bin/passwd,!/usr/bin/sudo -s
sudo可以使用非限制的所有命令，但是sudo -s能直接变成root用户

有什么好方法？大家说说

cnleon

Cmnd_Alias SHELLS_NONINTERACTIVE = /usr/bin/sudo -s
!SHELLS_NONINTERACTIVE,

spouter

回复 2# cnleon


如果这么写可以限制住sudo -s，但是其他命令也限制的很死。每条外部命令都要加上去才行。
Cmnd_Alias SHELLS_NONINTERACTIVE = /usr/bin/sudo -s
usertest ALL=(ALL)    !SHELLS_NONINTERACTIVE,!/usr/sbin/visudo,!/bin/su,!/usr/bin/chattr,!/sbin/fdisk,!/bin/dd,!/usr/bin/passwd
例如：这样写kill进程，重启ngx这种操作都有限制。

有没有简便的写法只限制住普通用户，不会变成root、不能修改root密码。而可以使用其他命令？
   

cnleon

回复 3# spouter


   你所有用户都是sudo组里吗？

spouter

除了root，就一个普通用户usertest。
目前就限制usertest不能变成root、不能修改root密码，可以用其他操作。

以后新加用户都是和usertest一样的权限