Cmnd_Alias是sudoers中用于将一组命令聚合成逻辑名称的机制，不赋予权限但提升可读性与可维护性；必须用绝对路径、全大写命名，支持通配符和!排除，不可嵌套或含shell特性。
通过 Cmnd_Alias 在 sudoers 中定义运维常用命令组，再结合用户或用户组授权，可精准控制权限范围，避免直接授予 ALL 带来的安全风险。
什么是 Cmnd_Alias？
Cmnd_Alias 是 sudoers 文件中用于为一组命令创建别名的语法结构。它本身不赋予任何权限，只是把多条命令归类命名，后续可在 sudoers 规则中复用该别名，提升可读性与可维护性。
基本格式为：Cmnd_Alias ALIAS_NAME = /path/to/cmd1, /path/to/cmd2, ...
常见运维场景下的 Cmnd_Alias 示例
以下是一些典型运维操作对应的命令别名定义（建议写在 /etc/sudoers 或 /etc/sudoers.d/ 下独立文件中）：
-
服务管理类：
Cmnd_Alias SVC_CMD = /bin/systemctl start *, /bin/systemctl stop *, /bin/systemctl restart *, /bin/systemctl status *
（注意：通配符*需配合sudoers的 glob 支持，推荐使用明确路径+参数白名单更稳妥） -
日志查看类：
Cmnd_Alias LOG_CMD = /usr/bin/journalctl, /bin/tail, /bin/cat, /usr/bin/less
可进一步限制只读操作：/bin/cat /var/log/*.log, /bin/tail -n [0-9]* /var/log/*.log -
磁盘与进程诊断类：
Cmnd_Alias DIAG_CMD = /bin/df, /bin/du, /bin/free, /usr/bin/top, /bin/ps, /usr/bin/lsof -
网络调试类：
Cmnd_Alias NET_CMD = /bin/ping, /usr/bin/curl, /usr/bin/wget, /usr/bin/ss, /bin/netstat, /usr/sbin/tcpdump
若含tcpdump，建议加路径白名单或指定只抓特定接口：/usr/sbin/tcpdump -i eth0 -c 100
如何将 Cmnd_Alias 应用于实际授权
定义好别名后，需搭配用户/组和主机规则完成授权。关键点如下：
- 用
User_Alias或直接写用户名/组名（如%ops）指明对象 - 授权时使用
ALL = (ALL) NOPASSWD: SVC_CMD表示无需密码执行该命令组 - 若需密码，去掉
NOPASSWD:；若仅允许以特定用户身份运行（如www-data），写成(www-data) SVC_CMD - 多个别名可合并授权：
%ops ALL = (root) NOPASSWD: SVC_CMD, LOG_CMD, DIAG_CMD
安全与实践建议
滥用 Cmnd_Alias 可能放大风险，务必注意：
- 始终使用绝对路径（
/bin/ls而非ls），防止 PATH 劫持 - 避免在别名中包含带危险参数的命令（如
/bin/rm -rf），宁可不用也不放宽 - 对需要参数的命令，尽量限定参数范围（例如
/bin/systemctl status httpd比status *更安全） - 修改
sudoers后必须用visudo -c校验语法，避免锁死管理员账户 - 定期审计
sudo -l输出，确认实际生效的权限是否符合预期
