Cmnd_Alias用于将一组命令归类命名并统一授权，提升sudo权限管理的可读性与可维护性；需用绝对路径定义，配合User_Alias和Host_Alias使用，并遵循安全规范与自上而下解析顺序。

通过 Cmnd_Alias，你可以把一组运维常用命令归类命名，再统一授权给特定用户或用户组，既避免逐条写权限的冗余，又提升 sudo 权限管理的可读性与可维护性。

定义 Cmnd_Alias：把命令打包成“指令库”

Cmnd_Alias 是 /etc/sudoers 中用于定义命令别名的语法，本质是给一组命令起个名字，后续授权时直接引用该名字即可。它不执行命令，只做逻辑分组。

• 语法格式为：Cmnd_Alias 别名 = /完整路径/命令1, /完整路径/命令2, ...
• 必须使用绝对路径（which systemctl 或 command -v journalctl 查准路径）
• 支持通配符（如 /usr/bin/systemctl start *），但需谨慎，避免过度放权
• 示例：
  Cmnd_Alias SVC_ADMIN = /bin/systemctl start *, /bin/systemctl stop *, /bin/systemctl restart *, /bin/systemctl status *

结合 User_Alias 和 Host_Alias 实现精准授权

单独定义 Cmnd_Alias 不生效，需配合用户、主机范围一起写入授权规则。推荐按角色建模，而非按人写死。

• 先定义运维组别：
  User_Alias OPS_TEAM = %ops, deploy, monitor
• 再绑定指令库与执行主机（如仅允许在应用服务器上操作服务）：
  OPS_TEAM app-servers = NOPASSWD: SVC_ADMIN
• 若需限制某些高危子命令（如禁止 systemctl reboot），可在别名中显式排除，或另建更细粒度的 Cmnd_Alias

安全建议：避免常见陷阱

Cmnd_Alias 看似简单，但配置不当容易引入权限绕过风险。

• 不用 sudo su 或 sudo bash 类命令——它们会获得完整 shell，绕过所有命令级限制
• 慎用 sudo vi /etc/passwd 这类可写系统文件的命令；如必须授权，改用专用工具（如 sudo vipw）并确保其已加固
• 所有修改必须用 sudo visudo 编辑，防止语法错误锁死 sudo 访问
• 测试新规则前，先用 sudo -l -U username 检查该用户实际可用命令列表

进阶技巧：组合多个 Cmnd_Alias 实现分级权限

一个用户可同时属于多个 User_Alias，一条规则也可引用多个 Cmnd_Alias，适合构建“开发—运维—DBA”等多角色权限体系。

• 例如：
  

  Cmnd_Alias DB_CMD = /usr/bin/mysql, /usr/bin/mysqldump<br>
  Cmnd_Alias LOG_VIEW = /usr/bin/journalctl, /bin/tail, /bin/cat /var/log/*.log<br>
  %dba db-servers = NOPASSWD: DB_CMD<br>
  %ops app-servers = NOPASSWD: SVC_ADMIN, LOG_VIEW

• 注意顺序：sudoers 文件自上而下解析，靠后的规则不会覆盖前面的拒绝项（除非显式用 !COMMAND 否定）