Linux sudoers权限最小化是精确到命令路径、执行身份、条件和上下文的精细化授权，必须用visudo编辑并优先使用/etc/sudoers.d/目录，通过别名分层、绝对路径限制、显式拒绝高危命令及全链路审计实现。
Linux sudoers 权限最小化不是“少给权限”，而是“只给刚好够用的权限”——精确到命令路径、执行身份、调用条件和操作上下文。
必须用 visudo 编辑，优先走 /etc/sudoers.d/
直接 vim /etc/sudoers 极易因语法错误导致 sudo 全面失效，连 root 都无法恢复。正确做法是：
- 用 sudo visudo -f /etc/sudoers.d/your-rule 新建规则文件（如 ops-db.conf）
- 文件名不能含点或波浪号（ops.conf ✅，ops.conf~ ❌），系统按字母序加载
- visudo 自动校验语法、设权限为 440、阻止相对路径和空格错误
- /etc/sudoers 主文件只保留 Defaults 和 include 指令，不写具体授权
用别名分层抽象，避免硬编码重复
把用户、主机、命令三类实体分别归组，让规则可读、可扩展、易审计：
- User_Alias DBA = alice, bob, %db-admins
- Host_Alias PROD_DB = db01, db02, db03
- Cmnd_Alias PG_OP = /usr/bin/pg_ctl start, /usr/bin/pg_ctl stop, /usr/bin/pg_dump --clean --if-exists
- 最终授权行：DBA PROD_DB = (postgres) NOPASSWD: PG_OP
新增成员？加进 db-admins 组即可；新增数据库节点？补进 PROD_DB 列表即可——不用碰任何命令路径。
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
命令授权必须绝对路径 + 显式参数范围
允许 /usr/bin/systemctl restart nginx 是安全的；允许 /usr/bin/systemctl 或 /bin/bash 就等于开放 root shell：
- 所有命令必须写完整绝对路径（/usr/bin/apt ≠ apt）
- 通配符 * 只能用于末尾参数（如 /usr/bin/tail /var/log/app/*.log），禁用 /usr/bin/*
- 显式拒绝高危入口：! /bin/sh, ! /bin/bash, ! /usr/bin/su, ! /usr/bin/python3 -c
- 重启服务类操作可配 NOPASSWD，但仅限该完整命令，不继承二进制其他能力
绑定执行环境，启用全链路审计
权限配置完只是开始，关键是要确保每次执行都可追溯、受约束：
- 在 sudoers 文件顶部加：Defaults logfile="/var/log/sudo.log", log_input, log_output, requiretty
- requiretty 阻止 Web 后台、crontab、SSH 非交互式提权（特殊场景可单独豁免）
- 限制环境变量：Defaults:user1 env_reset, env_keep+="LANG LC_* PATH"
- 强制重置家目录：Defaults:user1 always_set_home，防相对路径攻击
- 设置超时：Defaults:user1 timestamp_timeout=5（5 分钟无操作需重输密码）
配置后务必验证：用目标用户执行 sudo -l 查看实际权限列表，再尝试越权命令确认被拒，最后检查 /var/log/sudo.log 是否记录完整上下文。
