[Linux] su, sudo, sudo su 차이

su - user를 하면 비밀번호를 물어보지만 sudo su user을 하면 비밀번호를 물어보지 않는 경우를 마주했다.. 무슨 차이가 있는건지 기록해두고자 한다.

 

su, sudo, sudo su 명령어를 모두 유저를 바꾸는 명령어로만 생각했었지만, 사실 권한을 얻는 방식과 보안 수준, 사용 목적이 모두 다르다.

1. su (Switch User)

su는 현재 계정을 로그아웃하지 않고 다른 사용자로 전환하는 명령어이다. 사용자 ID만 변경하고 HOME, PATH, 환경변수와 같은 기존 환경은 기본적으로 유지한다. 따라서 비로그인 셸로 실행되며 .bashrc가 적용된다.

• su: root로 전환
• su root: root로 전환
• su user: 일반 사용자로 전환

root에서 일반 사용자로 전환할 때는 비밀번호를 물어보지 않고, 일반 사용자에서 root, 혹은 일반 사용자에서 일반 사용자로 전환하는 경우 비밀번호를 입력해야 한다.

 

2. su - (Switch User - login shell)

su -는 현재 계정을 로그아웃하지 않고 다른 사용자로 전환하되, 해당 사용자로 로그인한 것과 동일한 환경을 새로 구성하는 명령어이다.
사용자 id뿐만 아니라 HOME, PATH, 환경변수까지 모두 초기화되며, 로그인 셸로 실행되어 .bash_profile을 읽는다.

• su -: root로 로그인
• su - root: root로 로그인
• su - user: 일반 사용자로 로그인

su와 마찬가지로 root에서 일반 사용자로 전환할 때는 비밀번호를 물어보지 않고, 일반 사용자에서 root, 혹은 일반 사용자에서 일반 사용자로 전환하는 경우 비밀번호를 입력해야 한다.

 

위의 사진을 보면 su testuser은 testuser 경로에 root 경로가 섞여있고, su - testuser은 testuser 기준으로 PATH가 초기화된 것을 알 수 있다.
이처럼 su는 사용자 전환 시 환경이 섞이는 특성이 있기 때문에 시스템 관리 측면에서는 su - 를 쓰는 것이 더 안전하다.

 

그러나 su - 는 결국 root 비밀번호를 공유해야 사용할 수 있으며, 누가 어떤 작업을 수행했는지에 대한 명확한 추적이 어렵다. 따라서 현대 리눅스 운영 환경에서는 sudo 기반의 권한 상승 방식을 표준으로 사용한다.

sudo는 사용자의 계정을 유지한 채 필요한 명령에만 권한을 부여하며, 모든 실행 이력이 로그에 남아 보안에 적합하다.

 

3. sudo (Superuser Do)

sudo는 현재 사용자 계정을 유지한 채, 필요한 명령 하나만 root 권한으로 실행하는 것이다.
su나 su - 처럼 사용자 자체를 전환하지 않기 때문에 환경 혼합이나 장시간 권한 상승 문제를 피할 수 있다.

그리고 root 비밀번호를 요구하지 않고 현재 로그인한 사용자 본인의 비밀번호를 사용해서 sudo 권한을 가진 사용자인지 검증한다. 만약 sudo 권한을 가지지 않은 사용자라면 위와 같은 출력이 뜨고, 명령어 실행이 안된다.

이는 사용자별 권한 통제가 가능하며, root 비밀번호 공유를 최소화한다는 장점을 가진다.

그리고 이는 모두 /var/log/secure 경로에 저장된다.

 

4. sudo su - 

sudo su - 는 sudo로 root 권한을 획득하여 root의 로그인셸을 실행하는 명령어이다.
결과적으로 su - root와 동일한 환경을 제공하지만, root 비밀번호가 아닌 현재 로그인 사용자의 비밀번호를 입력한다는 점이 다르다.

이 방식은 root 비밀번호를 공유하지 않아도 된다는 장점이 있지만 root 셸에 직접 진입하게 되므로, sudo 명령처럼 이후 실행 명령어들이 상세히 기록되지 않아 감사 측면에서는 위험이 있다.

따라서 sudo su - 는 root 비밀번호를 공유할 수 없지만 root 환경에서의 연속적인 작업이 필요한 긴급 상황에서 주로 사용한다고 한다..!

 

su나 su - 를 사용해 사용자 전환을 하게되면, 작업 내역이 이력으로 남지않아 로그상에서 단순하게 root가 작업했다.로만 보이게 된다.
그래서 실제로 금융권 환경에서는 su 사용 시 보안 감사 및 운영 통제 기준에 따라 사용 사유에 대한 소명을 요구받는 경우도 있다. (실제로 경험해봄)