Linux 以其他使用者身分執行程式：runuser、su、sudo、systemd-run 四大工具對比與最佳實務

系統管理常需切換身分執行指令：runuser (無需密碼、僅 root)、su (需密碼、完整登入 Shell)、sudo (權限精細、審計日誌)、systemd-run (現代、資源限制、日誌整合)。本文詳細對比四工具語法、適用場景、安全性差異。

工具對比表

實戰範例

# 1. runuser (root 執行備份腳本以 postgres 身分)
runuser -u postgres -- pg_dumpall > /backup/db.sql

# 2. su (切換到 oracle 完整環境)
su - oracle -c 'sqlplus / as sysdba @startup.sql'

# 3. sudo (Web 部署腳本以 www-data 身分)
sudo -u www-data php artisan migrate --force

# 4. systemd-run (以用戶級服務運行長期任務)
systemd-run --user --scope --property=MemoryMax=500M \
    --property=CPUQuota=50% \
    ./long_computation.sh

安全建議

• 優先使用 sudo，配合 /etc/sudoers.d/ 最小權限原則。
• 避免在腳本中硬編碼密碼給 su。
• runuser 僅限 root 且無審計，僅用於完全受控的自動化環境。
• 長期運行服務改用 systemd 服務單元 (.service)，而非臨時 systemd-run。

選對工具，兼顧自動化效率與安全合規。