Linux: Administratorpflichten mit Sudo delegieren

Nachdem man Sudo erst einmal konfiguriert hat, ist es angenehm leicht zu benutzen. Anwender haben keinen großen Lernprozess zu durchlaufen. Das schwierigste ist, sich daran zu erinnern sudo aufzurufen, bevor ein normalerweise auf root beschränkter Befehl zugeteilt wird. Bei der ersten Verwendung fordert Sudo das Passwort des Anwenders an. Danach kann Sudo ohne Passwort verwendet werden. Wird das Programm jedoch fünf Minuten lang nicht benutzt, findet ein Timeout statt und für den nächsten Aufruf wird das Passwort wieder verlangt. (Der Timeout-Zeitraum kann beim Kompilieren geändert werden.)

Die Basisausführung von Sudo wird wie im folgenden Beispiel im Format sudo durchgeführt:
mail1$ sudo less /var/log/mail.log

Wie bereits weiter oben erwähnt, wird Sudo diesen und alle anderen Ausführversuche in einer Log-Datei aufzeichnen. Die spezifische Log-Datei variiert von System zu System, ist aber typischerweise /var/log/messages oder /var/log/auth.log. Auch dies kann während der Kompilierung angepasst werden. Der von Sudo erzeugte Log-Eintrag wird so ähnlich in Listing 2 aussehen.

Die Log-Einträge helfen beim Aufspüren eventueller Schwachstellen in der Konfiguration und sorgen dafür, dass man nachvollziehen kann, wer wann was gemacht hat. Dies ist sehr viel besser als ein gemeinsames root-Passwort, mit dem es schwierig sein kann, nachzuvollziehen, welcher Anwender welchen Befehl ausgeführt hat. Sudo zeichnet exakt auf, wer welchen Befehl zu welchem Zeitpunkt ausgeführt hat.