مقدمه

در سیستم‌عامل لینوکس، بسیاری از عملیات مدیریتی مانند نصب نرم‌افزار، مدیریت سرویس‌ها، تغییر تنظیمات سیستم و ایجاد کاربران جدید نیازمند دسترسی مدیریتی (Root) هستند.

در گذشته، مدیران سیستم معمولاً مستقیماً با حساب کاربری Root وارد سرور می‌شدند؛ اما امروزه این روش از نظر امنیتی توصیه نمی‌شود. راهکار استاندارد، استفاده از ابزار sudo است.

استفاده صحیح از sudo علاوه بر افزایش امنیت، امکان ثبت فعالیت کاربران، کنترل دسترسی‌ها و کاهش احتمال خطاهای انسانی را نیز فراهم می‌کند.

در این مقاله با نحوه عملکرد sudo، روش پیکربندی آن و بهترین شیوه‌های استفاده در سرورهای لینوکسی آشنا خواهیم شد.

sudo چیست؟

sudo مخفف عبارت SuperUser Do است.

این ابزار به کاربران عادی اجازه می‌دهد تنها در صورت نیاز، یک دستور مشخص را با دسترسی مدیریتی اجرا کنند.

به بیان ساده:

به جای اینکه همیشه با Root وارد شوید، فقط همان دستوری که نیاز به دسترسی مدیریتی دارد را با sudo اجرا می‌کنید.

برای مثال:

sudo apt update

یا

sudo systemctl restart nginx

چرا از sudo استفاده کنیم؟

استفاده از sudo مزایای زیادی دارد.

از جمله:

• عدم نیاز به ورود مستقیم با Root
• ثبت تمامی دستورات مدیریتی در لاگ
• کاهش احتمال خطاهای انسانی
• امکان محدود کردن سطح دسترسی کاربران
• افزایش امنیت سرور
• مدیریت ساده‌تر کاربران در محیط‌های سازمانی

بررسی نصب sudo

در بیشتر توزیع‌های لینوکس، sudo به‌صورت پیش‌فرض نصب شده است.

برای بررسی:

sudo --version

اگر نسخه برنامه نمایش داده شد، یعنی sudo روی سیستم نصب است.

نصب sudo

اگر sudo روی سیستم نصب نبود، می‌توانید آن را نصب کنید.

Ubuntu و Debian

apt update
apt install sudo -y

AlmaLinux و Rocky Linux

dnf install sudo -y

اعطای دسترسی sudo

برای اینکه یک کاربر بتواند از sudo استفاده کند، باید عضو گروه مناسب باشد.

Ubuntu و Debian

sudo usermod -aG sudo username

مثال:

sudo usermod -aG sudo maraladmin

AlmaLinux، Rocky Linux و RHEL

sudo usermod -aG wheel username

مثال:

sudo usermod -aG wheel maraladmin

بررسی عضویت کاربر

برای مشاهده گروه‌های یک کاربر:

groups maraladmin

یا:

id maraladmin

اگر کاربر عضو گروه sudo یا wheel باشد، مجوز استفاده از sudo را خواهد داشت.

تست دسترسی sudo

با کاربر جدید وارد شوید.

ابتدا بررسی کنید با چه کاربری وارد شده‌اید:

whoami

نمونه خروجی:

maraladmin

سپس یک دستور مدیریتی اجرا کنید:

sudo whoami

اگر خروجی زیر نمایش داده شد:

root

یعنی تنظیمات sudo به‌درستی انجام شده است.

فایل تنظیمات sudo

تنظیمات اصلی sudo در فایل زیر قرار دارد:

/etc/sudoers

این فایل را مستقیماً ویرایش نکنید.

برای ویرایش از دستور زیر استفاده کنید:

sudo visudo

این ابزار قبل از ذخیره فایل، ساختار آن را بررسی می‌کند و از ایجاد خطاهای نحوی که می‌توانند دسترسی مدیریتی را مختل کنند، جلوگیری می‌کند.

استفاده از پوشه sudoers.d

در بسیاری از سناریوها، بهتر است به جای تغییر فایل اصلی، تنظیمات اختصاصی را در مسیر زیر قرار دهید:

/etc/sudoers.d/

برای مثال:

sudo visudo -f /etc/sudoers.d/maraladmin

این روش باعث می‌شود فایل اصلی دست‌نخورده باقی بماند و مدیریت تنظیمات ساده‌تر شود.

اجرای دستور با sudo

نمونه‌هایی از استفاده روزمره:

بروزرسانی سیستم:

sudo apt update

راه‌اندازی مجدد یک سرویس:

sudo systemctl restart nginx

مشاهده لاگ‌های سیستم:

sudo journalctl

نصب نرم‌افزار:

sudo dnf install nginx

تفاوت sudo و su

این دو دستور کاربرد متفاوتی دارند.

در بیشتر سناریوها، استفاده از sudo توصیه می‌شود.

استفاده از sudo بدون رمز عبور

می‌توان sudo را طوری تنظیم کرد که برای یک کاربر خاص، رمز عبور درخواست نشود.

نمونه:

maraladmin ALL=(ALL) NOPASSWD: ALL

اگرچه این قابلیت برای محیط‌های آزمایشگاهی یا برخی اسکریپت‌های خودکار مفید است، اما در سرورهای عملیاتی به دلیل کاهش سطح امنیت، توصیه نمی‌شود.

ثبت فعالیت کاربران

یکی از مهم‌ترین مزایای sudo، ثبت دستورات مدیریتی است.

برای مشاهده بخشی از این اطلاعات می‌توانید لاگ‌ها را بررسی کنید.

در Ubuntu و Debian:

sudo grep sudo /var/log/auth.log

در AlmaLinux و Rocky Linux:

sudo grep sudo /var/log/secure

این لاگ‌ها نشان می‌دهند چه کاربری، چه دستوری و در چه زمانی اجرا کرده است.

اشتباهات رایج

برخی از اشتباهات متداول هنگام استفاده از sudo عبارت‌اند از:

• انجام تمام فعالیت‌ها با حساب Root
• ویرایش مستقیم فایل /etc/sudoers
• استفاده از NOPASSWD در سرورهای Production
• افزودن همه کاربران به گروه sudo
• اشتراک‌گذاری یک حساب مدیریتی بین چند نفر

بهترین روش استفاده از sudo

برای افزایش امنیت:

• برای هر مدیر سیستم یک حساب کاربری مجزا ایجاد کنید.
• فقط کاربران موردنیاز را عضو گروه sudo یا wheel کنید.
• فایل sudoers را فقط با visudo ویرایش کنید.
• از ثبت لاگ‌های sudo برای بررسی فعالیت‌ها استفاده کنید.
• دسترسی‌های غیرضروری را به‌صورت دوره‌ای بازبینی کنید.

چک‌لیست

پس از تنظیم sudo، این موارد را بررسی کنید:

• sudo روی سیستم نصب است.
• کاربر عضو گروه sudo یا wheel است.
• اجرای sudo whoami بدون خطا انجام می‌شود.
• فایل sudoers فقط با visudo مدیریت می‌شود.
• لاگ‌های sudo ثبت می‌شوند.
• کاربران غیرضروری دسترسی مدیریتی ندارند.

جمع‌بندی

sudo یکی از مهم‌ترین ابزارهای مدیریت دسترسی در لینوکس است و استفاده صحیح از آن، امنیت سرور را به شکل قابل توجهی افزایش می‌دهد. به‌جای ورود مستقیم با حساب Root، بهتر است برای هر مدیر سیستم یک حساب کاربری جداگانه ایجاد کرده و تنها در زمان نیاز از sudo برای اجرای دستورات مدیریتی استفاده کنید.

این روش علاوه بر کاهش ریسک نفوذ و خطاهای انسانی، امکان ثبت دقیق فعالیت‌ها و کنترل بهتر دسترسی‌ها را نیز فراهم می‌کند و یکی از استانداردهای اصلی مدیریت امن سرورهای لینوکسی محسوب می‌شود.

کیان پور