Cmnd_Alias用于定义命令别名，将功能相近的绝对路径命令聚合成可复用、易审计的逻辑组；User_Alias用于按角色归类用户，二者结合实现角色驱动的最小权限授权，须配合Runas_Alias和Host_Alias强化执行身份与主机边界，并通过/etc/sudoers.d/分离配置、visudo校验及日志审计保障安全。
理解Cmnd_Alias与User_Alias的核心作用
Cmnd_Alias 定义命令组，把零散权限聚合成可复用的逻辑单元；User_Alias 定义用户组，把人员按职能归类。二者结合，才能脱离“逐行写用户+逐行写命令”的原始模式，真正支撑角色驱动的最小化授权。
设计分层清晰的别名结构
避免把所有命令塞进一个 ALL_CMDS 别名里。应按运维域划分，例如：
- DBA_CMDS：/usr/bin/mysql, /usr/bin/pg_dump, /opt/app/dbctl start
- WEB_ADMIN：/usr/bin/systemctl start nginx, /usr/bin/systemctl reload nginx, /bin/journalctl -u nginx
- BACKUP_OP：/usr/bin/rsync, /usr/bin/tar, /usr/bin/gzip, /usr/bin/ssh (with forced command restriction)
用户别名也需对齐业务角色，而非系统账号类型：
linux-sysadmin
下载
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
- User_Alias DBA_TEAM = dba01, dba02, dba03
- User_Alias WEB_OPS = ops-web1, ops-web2, deploy-bot
- User_Alias BACKUP_ADMIN = backup-master, vault-sync
用Runas_Alias和主机限定强化边界
仅靠命令别名不够。最小化授权必须控制“以谁的身份执行”和“在哪些机器上允许”：
- 定义 Runas_Alias DBA_RUNAS = postgres, mysql，限制 DBA_TEAM 只能以数据库服务账户运行 DBA_CMDS
- 在 sudoers 中写成：DBA_TEAM host1.example.com = (DBA_RUNAS) NOPASSWD: DBA_CMDS
- 禁止跨主机泛化：不写
ALL主机列表，而是显式列出生产、预发、测试三类主机别名（Host_Alias）
落地要点与安全红线
直接编辑 /etc/sudoers 风险极高。必须遵循以下实践：
- 始终使用 visudo -f /etc/sudoers.d/rbac-db 独立维护策略文件，便于版本追踪和灰度上线
- 每条授权末尾加 NOPASSWD: 前，确认该命令无交互式提权路径（如 vim、less、python -c "import os;os.system('/bin/bash')"）
- 禁用通配符和 shell 元字符：不允许
/bin/sh -c *、/usr/bin/*、/usr/local/bin/??? - 启用日志审计：Defaults logfile="/var/log/sudo-rbac.log"，并确保该日志受 logrotate 和 SIEM 接入保护
RBAC 不是配置完就结束，而是持续收敛的过程。上线后通过 sudo -lU username 定期验证实际权限面，比文档更真实。
