/sbin/runuser 是一個專為 root 用戶設計的高效工具，用于在不提供目標用戶密碼的情況下，直接切換身份執行命令。它遵循了“最小權限原則”，是系統管理和自動化腳本中的理想選擇。

下面這個表格匯總了 runuser 命令的核心選項，方便你快速了解。

?? 核心應用場景與實例

runuser 的典型應用場景主要集中在以下幾個方面：

1. root用戶降權執行命令
   當 root 用戶需要執行某些不需要最高權限的操作時，使用 runuser 降權到相應用戶可以避免因誤操作導致系統級問題，提升安全性。

   • 示例：檢查某個普通用戶（如 nginx）的資源限制。

     runuser -l nginx -c 'ulimit -SHa'
     

2. 在腳本或自動化任務中切換用戶
   在后臺進程、服務啟動腳本或定時任務（如 cron 作業）中，經常需要以特定用戶（如 mysql, apache）的身份運行程序。由于 runuser 無需密碼，它非常適合非交互式的自動化環境。

   • 示例：在定時任務中，以 backupuser 身份運行備份腳本。

     runuser -l backupuser -c '/opt/scripts/backup.sh'
     

3. 訪問受權限限制的資源
   有時，由于安全策略（如 SELinux）或文件系統權限（如 NFS 掛載），root 用戶可能無法直接訪問某些文件或目錄。此時，可以通過 runuser 切換至有權訪問該資源的用戶（如 apache 用戶）來進行操作。

   • 示例：root用戶無法直接瀏覽某個NFS共享目錄，但apache用戶可以。

     runuser -l apache -c 'ls -la /nfs/wwwroot/example.com/'
     

4. 檢查用戶的特定環境與資源限制
   可以快速以目標用戶（如 oracle）的身份檢查其 Shell 的資源限制（ulimit）或環境變量，而無需進行完整的用戶切換和登錄過程。

   • 示例：檢查 oracle 用戶的環境變量 PATH。

     runuser -l oracle -c 'echo $PATH'
     

?? 重要注意事項

使用 runuser 時，請牢記以下幾點：

1. 僅限 root 用戶使用：runuser 命令設計為僅由 root 用戶執行。普通用戶無法使用它來切換身份。
2. 理解 -l 選項的影響：-l (或 --login) 參數會創建一個干凈的登錄環境。這意味著它會清除大部分原有環境變量，并加載目標用戶的 Shell 配置文件（如 .bash_profile）。如果你希望命令繼承當前 root 的大部分環境，則不應使用 -l 選項，或者使用 -m 選項來保留環境。
3. 與 su 和 sudo 的區別：
   • runuser vs su：runuser 不需要密碼，且不運行完整的 PAM 認證流程，因此開銷更小，更適合腳本自動化。而 su 需要目標用戶的密碼（除非由 root 執行），更適合交互式用戶切換。
   • runuser vs sudo：sudo 依賴于精細配置的授權規則 (/etc/sudoers)，允許普通用戶以 root 或其他用戶身份執行特定命令，并提供詳細的審計日志。runuser 是 root 用戶直接發起的身份切換，沒有額外的授權檢查。

下面的表格清晰地展示三者的主要區別：

?? 總結

總而言之，/sbin/runuser 是 root 用戶工具箱中一個高效且安全的工具，尤其適用于腳本自動化和遵循最小權限原則的系統管理任務。