Conectado como usuário normal, você pode executar qualquer comando como root anexando o sudo ao comando. A senha de root será solicitada e, se autenticada com êxito, execute o comando como root:

tux > id -un1
tux
tux > sudo id -un
root's password:2
root
tux > id -un
tux3
tux > sudo id -un
4
root

Dica: Redirecionamento de E/S

O redirecionamento de E/S não funciona conforme você deve esperar:

tux >  sudo echo s > /proc/sysrq-trigger
bash: /proc/sysrq-trigger: Permission denied
tux >  sudo cat < /proc/1/maps
bash: /proc/1/maps: Permission denied

Apenas o binário echo/cat é executado com privilégios elevados, enquanto o redirecionamento é executado pelo shell do usuário com os privilégios do usuário. Você pode iniciar um shell como na Seção 2.1.2, “Iniciando um shell” ou usar o utilitário dd:

echo s | sudo dd of=/proc/sysrq-trigger
sudo dd if=/proc/1/maps | cat

Anexar o sudo a cada comando pode ser trabalhoso. Embora seja possível especificar um shell como um comando sudo bash, é recomendável usar um dos mecanismos incorporados para iniciar um shell:

Por padrão, o sudo não propaga as variáveis de ambiente:

tux > ENVVAR=test env | grep ENVVAR
ENVVAR=test
tux > ENVVAR=test sudo env | grep ENVVAR
root's password:
1
tux > 

É possível mudar esse comportamento com a opção env_reset. Consulte a Tabela 2.1, “Opções e flags úteis”.

O arquivo de configuração de política principal do sudo é /etc/sudoers. Já que é possível se bloquear fora do sistema em caso de erros no arquivo, é altamente recomendável usar visudo para edição. Ele impede mudanças simultâneas no arquivo aberto e verifica se há erros de sintaxe antes de gravar.

Apesar do nome, você também pode usar editores diferentes do vi definindo a variável de ambiente EDITOR, por exemplo:

sudo EDITOR=/usr/bin/nano visudo

No entanto, o próprio arquivo /etc/sudoers é fornecido por pacotes do sistema, e as modificações podem falhar durante atualizações. Portanto, é recomendável inserir a configuração personalizada nos arquivos no diretório /etc/sudoers.d/. Qualquer arquivo nesse diretório é incluído automaticamente. Para criar ou editar um arquivo nesse subdiretório, execute:

sudo visudo -f /etc/sudoers.d/NAME

Se preferir, use um editor diferente (por exemplo, nano):

sudo EDITOR=/usr/bin/nano visudo -f /etc/sudoers.d/NAME

Nota: Arquivos ignorados em /etc/sudoers.d

O comando #includedir em /etc/sudoers, usado para /etc/sudoers.d, ignora os arquivos que terminam em ~ (til) ou que contêm . (ponto).

Para obter mais informações sobre o comando visudo, execute man 8 visudo.

Nos arquivos de configuração sudoers, há dois tipos de opções: strings e flags. Enquanto as strings podem conter qualquer valor, os flags podem ser ON ou OFF. As construções de sintaxe mais importantes dos arquivos de configuração sudoers são:

# Everything on a line after a # gets ignored 1
Defaults !insults # Disable the insults flag 2
Defaults env_keep += "DISPLAY HOME" # Add DISPLAY and HOME to env_keep
tux ALL = NOPASSWD: /usr/bin/frobnicate, PASSWD: /usr/bin/journalctl 3

Defaults targetpw # Turn targetpw flag ON

Defaults !rootpw # Turn rootpw flag OFF

Defaults env_reset # Turn env_reset flag ON

# Set env_keep to contain EDITOR and PROMPT
Defaults env_keep = "EDITOR PROMPT"
Defaults env_keep += "JRE_HOME" # Add JRE_HOME
Defaults env_keep -= "JRE_HOME" # Remove JRE_HOME

# Set env_delete to contain EDITOR and PROMPT
Defaults env_delete = "EDITOR PROMPT"
Defaults env_delete += "JRE_HOME" # Add JRE_HOME
Defaults env_delete -= "JRE_HOME" # Remove JRE_HOME

É possível também usar o token Defaults para criar álias para uma coleção de usuários, hosts e comandos. Além disso, é possível aplicar uma opção apenas a um conjunto específico de usuários.

Para obter informações detalhadas sobre o arquivo de configuração /etc/sudoers, consulte man 5 sudoers.

As regras referentes à configuração sudoers podem ser muito complexas, portanto, esta seção abordará apenas os princípios básicos. Cada regra segue o esquema básico ([] marca as partes opcionais):

#Who      Where         As whom      Tag                What
User_List Host_List = [(User_List)] [NOPASSWD:|PASSWD:] Cmnd_List

É possível usar ALL como User_List, Host_List e Cmnd_List.

Uma regra que permite que o tux execute todos os comandos como root sem digitar uma senha:

tux ALL = NOPASSWD: ALL

Uma regra que permite que o tux execute systemctl restart apache2:

tux ALL = /usr/bin/systemctl restart apache2

Uma regra que permite que o tux execute wall como admin sem argumentos:

tux ALL = (admin) /usr/bin/wall ""

Atenção: Construções perigosas

Construções do tipo

ALL ALL = ALL

não devem ser usadas sem Defaults targetpw, do contrário, qualquer pessoa poderá executar comandos como root.

Em casos com restrições especiais (“o usuário X apenas pode executar o comando Y como root”), isso não é possível. Em outros casos, ainda convém ter algum tipo de separação. Por convenção, os membros do grupo wheel podem executar todos os comandos com sudo como root.

Ao iniciar os aplicativos gráficos com o sudo, você encontra o seguinte erro:

tux > sudo xterm
xterm: Xt error: Can't open display: %s
xterm: DISPLAY is not set

O YaST selecionará a interface ncurses em vez da interface gráfica.

Para usar o X.Org em aplicativos iniciados com o sudo, as variáveis de ambiente DISPLAY e XAUTHORITY precisam ser propagadas. Para fazer essa configuração, crie o arquivo /etc/sudoers.d/xorg, (consulte a Seção 2.2.1, “Editando os arquivos de configuração”) e adicione a seguinte linha:

Defaults env_keep += "DISPLAY XAUTHORITY"

Se ainda não foi definida, defina a variável XAUTHORITY da seguinte maneira:

export XAUTHORITY=~/.Xauthority

Agora é possível executar os aplicativos X.Org como de costume:

sudo yast2