Heißt das, dass ich mein PW im Terminal/in der Shell nur deshalb eingeben muss, um nochmalig darauf hingewiesen worden zu sein, mit welcher Macht ich den kommenden Befehl/die kommenden Befehle anstoßen möchte?
Ja, aber nicht nur. Eigentlich will man auch sicherstellen, dass auch wirklich die richtige Person gerade am Keyboard sitzt - und nicht irgendwer, der sich während der Mittagspause am unbeaufsichtigten Rechner des Kollegen zu schaffen macht.
sudo benutzt eine "grace period", die auf 5 Minuten voreingestellt ist. So lange gilt ein einmal eingegebenes Kennwort auch für weitere sudo-Befehle, dann verfällt der Zeitstempel wieder und es wird beim nächsten mal erneut geprüft, ob du wirklich du bist.
So, wie bei der Installation von Software über die normale GUI, wo ich zwar - nicht schimpfen - als Admin angemeldet und mit den entsprechenden Rechten ausgestattet bin, aber dennoch das PW eingeben muss? So als Warnschild quasi?
Wenn du während einer Softwareinstallation mit Apples eigenem Installer nach dem Admin-Kennwort gefragt wirst, dann folgt das Programm dabei einer Vorgabe die der Ersteller des Pakets so festgelegt hat. Manchmal wird hiernach gefragt, obwohl es technisch gar nicht notwendig wäre - manche Entwickler sind hier unachtsam bei der Bedienung des Programms oder einfach nur generell übervorsichtig.
I.d.R. aber wird das nur gemacht, wenn zumindest ein gewisser Teil der zu installierenden Software nach root-Rechten verlangt um an seinen Zielort kopiert werden zu dürfen (oder zB um ein eingebettetes Skript auszuführen, das irgendwelche Konfigurationen vornimmt).
Wenn ich als Admin angemeldet bin, bestätige ich meine (bereits durch Anmeldung bestehenden) Rechte lediglich.
Korrekt, so ist zumindest die Vorgabe unter OS X. sudo gibt es für alle Unix-basierten Systeme und das mit den Vorgaben kann unter einem "OS Y" durchaus völlig anders aussehen. (In manchen Systemen wird tatsächlich nach dem Kennwort von root gefragt)
Pflichtbewusste Systemverwalter in Unix-Netzen können das Verhalten von sudo auch ganz individuell konfigurieren. Man kann zB bestimmten Benutzern ein Sonderrecht für ganz bestimmte Befehle erteilen, so dass sie diese ganz ohne jede Kennworteingabe ausführen können, den Zugriff auf bzw von bestimmten Remote-Rechnern im Netz beschränken oder sich auch mehrere Stufen von Administratoren mit unterschiedlich weitreichendem Machtspektrum erschaffen.
Davon sollte man aber als Nicht-Vollprofi unbedingt die Finger lassen, die klitzekleinste Unachtsamkeit bei der Konfiguration reisst verheerende Sicherheitslücken im System auf. (Liest du irgendwelche "Tips" zum "sinnvollen" Bearbeiten der "sudoers" Konfigdatei - sag laut und deutlich "nein". Das sprichwörtliche Duo "Streichholz und Benzinkanister" ist ein Dreck gegen diese Schlangengrube.)
Das Admin-PW steigert meine Rechte immer +1, bezogen auf den jeweilig gerade genutzten Kontotyp?
Nein. Wenn du als eingeschränkter Nutzer in einer für OS X typischen Dialogbox nach einem Kennwort gefragt wirst, wirst du gleichzeitig auch den
Namen des dazugehörigen Admin eingeben müssen. Die Aktion wird dann stellvertretend durch diesen bestimmten Admin authorisiert, nicht durch dich selbst.
Es ist hier auch nicht immer zwingend der Fall dass dieses Kennwort gebraucht wird um den dicken root-Knüppel aus dem Sack zu holen, häufig dient das auch nur zur Erteilung ganz anderer Privilegien. Dahinter steckt ein sehr komplexes Netz aus verschiedensten Sonderprivilegien, die von den Softwareautoren ganz speziell und individuell auf und für ihr Produkt zugeschnitten werden (...sollten).
Auf der Kommandozeile mit sudo funktioniert das ganze etwas anders (primitiver), dort musst du dich erst "regulär" als Admin anmelden, um den weiteren Sprung zu root ausführen zu dürfen. (Nicht weil das technisch nicht anders ginge, sondern weil die Verwendung jeglicher sudo-Funktionen für "Normalbenutzer" ganz bewusst und strikt untersagt wurde.)
Eine solche Anmeldung unter anderem (Admin) Namen kann in einem schon geöffneten Terminalfenster zB recht einfach als "temporäres Umschalten" mittels eines anderen Hilfsprogramms erfolgen: "su" (für "substitute user" oder "switch user")
su ist gewissermassen der "schnelle Benutzerwechsel" in Textform der es erlaubt
vorübergehend eine andere Identität anzunehmen und dann nach Erledigung der Aufgabe wieder zu seiner eigenen zurückzukehren. Alternativ kann man auch ein komplett neues Fenster mit einem entsprechenden Login öffnen und dann zwischen den Fenstern/Tabs hin- und herschalten.
