su 命令：切换用户身份的强大工具

1. 命令简介

su（Switch User 的缩写）是 Linux 系统中用于切换用户身份的重要命令行工具。它允许用户以另一个用户的身份运行 shell 或执行命令，通常用于获取临时的管理权限或模拟其他用户环境。su 命令在系统管理、安全审计和故障排查中扮演着关键角色。

2. 基本语法

su [选项] [-] [用户名]

3. 常用选项详解

• -: 模拟完整的登录 shell（加载目标用户的环境变量）
• -c 命令: 指定要执行的命令
• -s shell: 指定要使用的 shell
• -p 或 --preserve-environment: 保留当前环境变量
• -l 或 --login: 等同于使用 -，提供一个类似于直接登录的环境

4. 基础用法示例

4.1 切换到 Root 用户

su -

或

su - root

4.2 切换到特定用户

su - username

4.3 以另一个用户身份执行单个命令

su - username -c "command"

5. 高级用法和技巧

5.1 保留当前环境变量切换用户

su -p username

5.2 使用指定的 Shell

su -s /bin/zsh username

5.3 在不切换用户的情况下模拟用户环境

su - username -c "env | sort"

6. 实际应用场景

6.1 安全审计脚本

#!/bin/bash
# security_audit.sh

# 检查是否以 root 权限运行
if [ "$(id -u)" != "0" ]; then
   echo "This script must be run as root" 1>&2
   exit 1
fi

# 定义要审计的用户列表
users=("user1" "user2" "user3")

for user in "${users[@]}"
do
    echo "Auditing $user's activities:"
    
    # 检查用户的 sudo 权限
    echo "Sudo privileges:"
    su - "$user" -c "sudo -l"
    
    # 检查用户的最近登录
    echo "Recent logins:"
    last "$user" | head -n 5
    
    # 检查用户的cron任务
    echo "Cron jobs:"
    su - "$user" -c "crontab -l"
    
    echo "------------------------"
done

这个脚本使用 su 命令来模拟不同用户的环境，进行安全审计。

6.2 多用户环境测试脚本

#!/bin/bash
# multi_user_test.sh

# 定义要测试的用户和命令
declare -A user_commands=(
    ["user1"]="ls /home/user1"
    ["user2"]="cat /etc/passwd"
    ["user3"]="whoami"
)

for user in "${!user_commands[@]}"
do
    command="${user_commands[$user]}"
    echo "Testing as $user: $command"
    su - "$user" -c "$command"
    if [ $? -eq 0 ]; then
        echo "Success"
    else
        echo "Failed"
    fi
    echo "------------------------"
done

这个脚本使用 su 命令来测试多个用户执行不同命令的权限和结果。

7. 性能考虑

• su 命令本身执行速度很快，但频繁切换用户可能会增加系统负载。
• 在脚本中大量使用 su 可能会降低执行效率，考虑使用更高效的方法如 sudo。
• 使用 - 选项加载完整环境可能会略微增加执行时间。

8. 安全注意事项

• 限制 su 命令的使用，只允许必要的用户使用它。
• 使用 sudo 代替 su 可以提供更细粒度的权限控制。
• 监控 su 的使用情况，特别是对 root 账户的访问。
• 避免在脚本中硬编码密码，使用更安全的认证方法。

9. 与其他工具的集成

• 与 sudo 结合使用，实现更灵活的权限管理。
• 使用 logger 命令记录 su 的使用情况。
• 结合 pam_tty_audit 模块，可以审计通过 su 执行的命令。

10. 故障排除

• 如果 su 失败，检查 /etc/pam.d/su 文件的配置。
• 使用 id 命令验证当前用户身份和组成员身份。
• 检查 /etc/passwd 和 /etc/shadow 文件的权限和完整性。

11. 相关命令

• sudo: 以其他用户身份执行命令，提供更细粒度的权限控制
• whoami: 显示当前用户名
• id: 显示用户身份信息
• login: 初始化用户会话

通过深入理解和谨慎使用 su 命令，系统管理员可以更有效地管理多用户环境，进行系统维护和安全审计。然而，在现代系统管理实践中，sudo 通常被认为是一种更安全、更灵活的替代方案。