{"id":851,"date":"2023-09-03T18:24:28","date_gmt":"2023-09-03T16:24:28","guid":{"rendered":"https:\/\/linux-bibel.at\/?p=851"},"modified":"2023-10-02T20:40:39","modified_gmt":"2023-10-02T18:40:39","slug":"sudo-und-su-administrator-unter-linux","status":"publish","type":"post","link":"https:\/\/linux-bibel.at\/index.php\/2023\/09\/03\/sudo-und-su-administrator-unter-linux\/","title":{"rendered":"sudo und su – Administrator unter Linux"},"content":{"rendered":"\n

Unter Linux<\/a> ist der normale Benutzer vom Administrator<\/a> strikt getrennt. Der normale Nutzer kann zwar auf gewisse Datei<\/a>en im System unter „\/<\/strong>“ lesend zugreifen – also auf der Wurzel-Partition<\/a>, aber nicht schreibend. Der Administrator<\/a> – der Benutzer root<\/a><\/strong> hat Zugriff auf alle Datei<\/a>en, er kann im System tun und lassen, was er will, auch das System unbrauchbar machen – darum gilt es nur dann mit administrativen Rechten zu arbeiten, wan<\/a>n dies auch wirklich nötig ist.<\/p>\n\n\n\n

Je nach Distribution<\/a> erlan<\/a>gt man auf unterschiedliche Arten administrative Rechte, eben auch root<\/a>-Rechte genannt. Man meldet sich auf jeden Fall als normaler Benutzer am Desktop<\/a> an und erlan<\/a>gt dann root<\/a>-Rechte wenn dies nötig ist – einen eigenen grafischen Account für den Administrator<\/a> zu erstellen ist absolut unnötig. Sich direkt als Administrator<\/a> am Desktop<\/a> anzumelden ist sowieso der größte Fehler, den man machen kann – in einem solchen Fall würde jede Anwendung die man nutzt mit administrativen Rechten arbeiten – unter anderem auch der Webbrowser, der E-Mail-Cli<\/a>ent – ganz einfach gesagt, alles.<\/p>\n\n\n\n

Wie erlangt man unter Linux administrative Rechte?<\/h3>\n\n\n\n

Je nach Distribution<\/a> auf unterschiedliche Arten. Unter Ubuntu und darauf basierenden Distribution<\/a>en wie etwa Linux<\/a> Mint gibt es so gesehen keinen richtigen Administrator<\/a> – es lässt sich jedoch ein solcher Anlegen. Unter Debian<\/a> gibt es einen Administrator<\/a> sehr wohl – aber auch hier gibt es Unterschiede, im Live-System wird ein solcher nicht angelegt – in der Standard-Installation per umfangreicher Installation doch.<\/p>\n\n\n\n

Nun beginnen wir einmal, gibt es im Anwendungsmenü grafische Software, die administrative Rechte erfordert, wird diese solche beim Start auch einfordern, manche auch wieder erst, wenn man mit einer solchen etwas ausführen will – in beiden Fällen wird sich ein Fenster öffnen, in das man das Passwort für administrative Tätigkeiten eingibt – hier etwa unter KDE:<\/p>\n\n\n

\n
\"\"<\/a><\/figure>\n<\/div>\n\n\n

Am Terminal<\/a> kommt es wieder darauf an, war es bei der Installation des Systems möglich ein Passwort direkt für root<\/a> zu erstellen und haben Sie dies auch getan – so werden Sie am Terminal<\/a> vom normalen Nutzer zu root<\/a> mit dem Befehl<\/a>:<\/p>\n\n\n\n

su<\/code><\/pre>\n\n\n\n
Sie bestätigen mit Eingabe<\/kbd><\/strong> und werden nun aufgefordert das Passwort von root<\/a> einzugeben – dies bestätigen Sie abschließend wieder mit Eingabe<\/kbd><\/strong>:<\/p>\n\n\n
\n
\"\"<\/a><\/figure>\n<\/div>\n\n\n
Alle Befehl<\/a>e, die Sie nun starten, werden mit administrativen Rechten ausgeführt, bis Sie sich mit dem Befehl<\/a>:<\/p>\n\n\n\n
exit<\/code><\/pre>\n\n\n\n
abmelden. Bietet die Distribution<\/a> bei der Installation keine Möglichkeit ein root<\/a>-Passwort anzulegen, oder Sie haben dies absichtlich nicht getan – hat der erste erstellte Benutzer die Möglichkeit mit seinem normalen Passwort, das er auch zum Login<\/a> nutzt, administrative Rechte zu erlan<\/a>gen. Ein eigenes Passwort für administrative Tätigkeiten ist somit nicht nötig. Er nutzt sein Login<\/a>-Passwort, wenn sich ein grafisches Fenster für administrative Tätigkeiten öffnet – am Terminal<\/a> stellt er dem mit administrativen Rechten zu startenden Befehl<\/a> ein:<\/p>\n\n\n\n
sudo<\/code><\/pre>\n\n\n\n
voran – so etwa:<\/p>\n\n\n\n
sudo apt update<\/code><\/pre>\n\n\n\n
Etwas ärgerlich – Sie müssen jedem weiteren Befehl<\/a> den Sie mit administrativen starten wollen ein „sudo<\/code><\/strong>“ voranstellen. Dies ist natürlich umständlich – also etwa:<\/p>\n\n\n\n
sudo apt update\nsudo apt full-upgrade\nsudo apt autoremove\nsudo apt clean<\/code><\/pre>\n\n\n\n
Es besteht jedoch die Möglichkeit dies zu umgehen, indem Sie die Option „-i<\/strong>“ nutzen, in diesem Fall arbeiten Sie ähnlich wie mit dem Befehl<\/a> „su<\/code><\/strong>„:<\/p>\n\n\n\n
sudo -i\napt update\napt full-upgrade\napt autoremove\napt clean\nexit<\/code><\/pre>\n\n\n\n
Auch in diesem Fall melden Sie sich mit dem Befehl<\/a>:<\/p>\n\n\n\n
exit<\/code><\/pre>\n\n\n\n
wieder ab.<\/p>\n\n\n\n
Verwirrend wird es bei manchen Distribution<\/a>en wie etwa Manjaro, wenn Sie ein root<\/a>-Passwort anlegen können – in diesem Fall nutzen Sie bei grafischen Passwort-Abfragen Ihr normales Login<\/a>-Passwort und am Terminal<\/a> wiederum das root<\/a>-Passwort. Um diese Verwirrung abzuschaffen, öffnen Sie die Benutzer-Einstellungen und stellen Ihren Account auf „Standard<\/em>“ – hier etwa unter KDE:<\/p>\n\n\n
\n
\"\"<\/a><\/figure>\n<\/div>\n\n\n
Ein root<\/a>-Passwort sollten Sie zuvor natürlich bereits angelegt haben.<\/p>\n\n\n\n
Vorteile und Nachteile zwischen sudo und su<\/h3>\n\n\n\n
Einmal ganz von vorne – ich bin absoluter Gegner von „sudo<\/code><\/strong>„. sudo<\/code> hat absolut sicherheitsbedenkliche Möglichkeiten, so lassen sich damit problemlos grafische Anwendungen starten – dies könnte dazu führen unabsichtlich wichtige Systemd<\/a>ateien zu löschen oder auch Malware<\/a> in das System zu schleusen. Mit einem root<\/a>-Passwort kann jeder Benutzer zum Administrator<\/a> werden, der dieses Passwort kennt – der Vorteil für ein Mehrbenutzersystem. Ein Vorteil von sudo<\/code> ist wiederum – man kann einzelnen Benutzern gewisse zusätzliche Rechte geben. Der größte Nachteil – immer wieder finden sich Fehler im sudo<\/a>-System sodass ein Angreifer die Rechte übernehmen könnte. Mit dem Befehl<\/a>:<\/p>\n\n\n\n
su<\/code><\/pre>\n\n\n\n
lassen sich natürlich keine grafischen Anwendungen vom Terminal<\/a> aus starten – dies ist so gesehen wie schon beschrieben aber auch der Vorteil – es lässt sich weniger per Mausklick falsch machen.<\/p>\n\n\n\n
Ein root-Passwort anlegen<\/h3>\n\n\n\n
Gerade unter Linux<\/a> Mint war bis vor Linux<\/a> Mint 20.x (glaube ich<\/em>) der richtige root<\/a>-Nutzer absolut verpönt – dauerhaft mit administrativen Rechten am Terminal<\/a> arbeiten – viel zu gefährlich. Nun ist man wieder darauf gekommen – für gewisse Aufgaben wäre ein root<\/a>-Passwort doch nicht schlecht, es gibt meines Wissens sogar eine grafische Oberfläche, um ein solches anzulegen. Auch unter einem installierbaren Debian<\/a>-Live-System wird während der Installation kein root<\/a>-Passwort angelegt – ein solches lässt sich jedoch problemlos erstellen:<\/p>\n\n\n\n
sudo passwd root<\/code><\/pre>\n\n\n\n
Arbeiten mit sudo<\/code>, zusätzliche sudo<\/a>-Nutzer anlegen<\/p>\n\n\n\n
Wie schon beschrieben hat bei Linux<\/a>-Distribution<\/a>en ohne root<\/a>-Passwort nur der erste erstellte (der bei der Installation erstellte<\/em>) Benutzer die Möglichkeit administrative Befehl<\/a>e am Terminal<\/a> zu starten, indem er diesen ein:<\/p>\n\n\n\n
sudo<\/code><\/pre>\n\n\n\n
voran stellt. Auch können weitere Nutzer keine grafischen Anwendungen, die administrative Rechte erfordern, aus dem Anwendungsmenü heraus starten. Um diesen dies zu ermöglichen, muss man diese der Datei<\/a> „\/etc\/sudo<\/a>ers<\/strong>“ hinzufügen. Dies gelingt mit folgendem Befehl<\/a> am Terminal<\/a> (natürlich mit administrativen Rechten) für den Benutzer „robert<\/strong>„:<\/p>\n\n\n\n
usermod -aG sudo robert<\/code><\/pre>\n\n\n\n
Nachdem Hinzufügen zur sudo<\/a>-Gruppe gilt es sich einmal ab- und wieder anzumelden, anschließend sind die neuen Einstellungen aktiv. Jeder Benutzer der sudo<\/a>-Gruppe hat dieselben Rechte wie der erste angelegte Nutzer. Möchte man diese anpassen nutzt man die Datei<\/a> „\/etc\/sudo<\/a>ers<\/em>„. Diese sollte man absolut nur mit dem Befehl<\/a>:<\/p>\n\n\n\n
visudo<\/code><\/pre>\n\n\n\n
bearbeiten – dieser zeigt etwa Fehler in der Syntax. Speichert man die Datei<\/a> mit Fehlern in der Syntax, hat kein Nutzer – auch nicht der erste angelegte die Möglichkeit administrative Befehl<\/a>e zu starten. Und hier kommt dann wieder der echte Administrator<\/a> namens root<\/a> zum Einsatz.<\/p>\n\n\n\n
Der Befehl<\/a> „visudo<\/code><\/strong>“ startet am Terminal<\/a> automatisch den Editor<\/a> Vim – für Einsteiger ist dieser nicht unbedingt gedacht, starten Sie den Befehl<\/a> wie folgt wird der Editor<\/a> Nano genutzt der um einiges freundlicher ist:<\/p>\n\n\n\n
EDITOR=nano visudo<\/code><\/pre>\n\n\n\n
Sie arbeiten wie in einem grafischen Texteditor<\/a>:<\/p>\n\n\n
\n
\"\"<\/a><\/figure>\n<\/div>\n\n\n
Gespeichert wird die Datei<\/a>, nachdem sich keine Fehler in der Syntax zeigen (rot<\/strong>) ganz einfach mit Strg+o<\/kbd><\/strong>, Sie bestätigen mit Eingabe<\/kbd><\/strong> und schließen den Editor<\/a> mit Strg+x<\/kbd><\/strong>.<\/p>\n\n\n\n
Die Datei<\/a> sieht standardmäßig so aus:<\/p>\n\n\n\n
#\n# This file MUST be edited with the 'visudo' command as root.\n#\n# Please consider adding local content in \/etc\/sudoers.d\/ instead of\n# directly modifying this file.\n#\n# See the man page for details on how to write a sudoers file.\n#\nDefaults        env_reset\nDefaults        mail_badpass\nDefaults        secure_path=\"\/usr\/local\/sbin:\/usr\/local\/bin:\/usr\/sbin:\/usr\/bin:\/sbin:\/bin\"\n\n# Host alias specification\n\n# User alias specification\n\n# Cmnd alias specification\n\n# User privilege specification\nroot    ALL=(ALL:ALL) ALL\n\n# Allow members of group sudo to execute any command\n%sudo   ALL=(ALL:ALL) ALL\n\n\n# See sudoers(5) for more information on \"@include\" directives:\n\n@includedir \/etc\/sudoers.d<\/code><\/pre>\n\n\n\n
Hilfe für die Bearbeitung der Datei<\/a> finden Sie mit dem Befehl<\/a>:<\/p>\n\n\n\n
man sudo<\/code><\/pre>\n
\r\n    
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    3    <\/span>\r\n<\/div>
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    <\/span>\r\n<\/div><\/div>","protected":false},"excerpt":{"rendered":"
Unter Linux ist der normale Benutzer vom Administrator strikt getrennt. Der normale Nutzer kann zwar auf gewisse Dateien im System unter „\/“ lesend zugreifen – also auf der Wurzel-Partition, aber nicht schreibend. Der Administrator – der Benutzer root hat Zugriff auf alle Dateien, er kann im System tun und lassen, was er will, auch das System unbrauchbar […]<\/p>\n","protected":false},"author":1,"featured_media":763,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17,4],"tags":[15],"class_list":["post-851","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-system","category-terminal","tag-system"],"_links":{"self":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/851","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/comments?post=851"}],"version-history":[{"count":2,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/851\/revisions"}],"predecessor-version":[{"id":9703,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/851\/revisions\/9703"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media\/763"}],"wp:attachment":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media?parent=851"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/categories?post=851"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/tags?post=851"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}