Linux sudoers权限控制需用visudo编辑并分文件管理，通过别名抽象用户、主机、命令，精确授权绝对路径及参数，禁用高危入口，启用审计日志与终端绑定，并严格测试验证。
Linux sudoers 文件精细权限控制不是配完就完的事，核心是让每个运维只做该做的事，不多也不少。
必须用 visudo 编辑，别碰 /etc/sudoers 本体
直接 vim 或 nano 改 /etc/sudoers 是高危操作：语法错一个空格，sudo 就瘫痪，连 root 都进不去。正确做法是：
- 用 sudo visudo -f /etc/sudoers.d/your-rule 新建独立配置文件（如 ops、db、backup）
- 文件名不能带点或波浪号（ops.conf 或 ops~ 会被系统忽略）
- visudo 自动校验语法、设权限为 440、阻止相对路径和括号不匹配等非法写法
用别名分层管理，规则才可读可维护
别在每条规则里重复写用户、主机、长命令路径。用三类别名抽象：
- User_Alias BACKUP = alice, %backup-team
- Host_Alias DB_SERVERS = db01, db02
- Cmnd_Alias PG_CTL = /usr/bin/pg_ctl start, /usr/bin/pg_ctl stop, /usr/bin/pg_ctl reload
组合授权：BACKUP DB_SERVERS = (postgres) PG_CTL。后续加人、加节点、增命令，只需改对应别名，不动主逻辑。
命令授权必须精确到绝对路径+参数边界
安全底线是“只准做什么”，不是“不准做什么”：
- 所有命令必须写绝对路径（/usr/bin/systemctl ≠ systemctl）
- 通配符 * 只能出现在末尾且仅用于参数（/usr/bin/tail /var/log/nginx/*.log 合规；/usr/bin/* 禁止）
- 显式拒绝高危入口：!/bin/sh, !/usr/bin/python3 -c, !/usr/bin/perl
- NOPASSWD 仅限具体动作（如 NOPASSWD: /usr/bin/systemctl restart nginx），不扩展到整个二进制
启用审计与终端绑定，确保每次操作可追溯
权限配置后不审计，等于没配：
- 在 sudoers 文件顶部加：Defaults logfile="/var/log/sudo.log", log_input, log_output
- 加 Defaults requiretty —— 阻止 Web 后台、crontab、SSH 非交互式调用 sudo
- 测试验证：sudo -l 查当前权限列表；sudo -u root whoami 测试执行能力；tail -f /var/log/sudo.log 实时观察调用行为
