Host_Alias 仅在本地 sudoers 文件中生效，需通过 Ansible 等工具同步至多台主机；定义须前置、全大写、成员为本机可解析的主机名或 IP；权限隔离由授权规则第二列引用该别名实现。

Host_Alias 本身不共享也不跨主机生效，它只是本地 sudoers 文件里的一个逻辑标签。所谓“多主机共享的 sudoers 文件”，实际是指通过配置管理工具（如 Ansible）把同一份含 Host_Alias 的 sudoers 内容同步到多台机器上——每台机器各自解析自己的副本，权限隔离靠的是规则中明确指定的主机范围。

别名定义必须统一且前置

所有目标主机的 /etc/sudoers（或 /etc/sudoers.d/ 下文件）里，Host_Alias 必须： • 放在注释之后、任何授权规则之前 • 名称全大写、用下划线分隔（如 PROD_API、STAGE_DB） • 成员是能被本机解析的主机名、IPv4 地址或 CIDR 网段（sudo 1.8.23+ 支持） • 不混用大小写，web01 和 Web01 被视为不同主机

权限隔离靠规则中的主机字段匹配

真正实现“在哪类机器上允许谁做什么”，靠的是授权行第二列（主机字段）填入 Host_Alias 名。例如：

• DBA PROD_DB = (postgres) /usr/bin/pg_dump → 只在 PROD_DB 列表里的机器上生效
• AUDIT STAGE_LOG = /usr/bin/journalctl -u nginx → 审计人员只能在 STAGE_LOG 主机上查 Nginx 日志
• DEVOPS ALL_WEB = (www-data) NOPASSWD: /bin/systemctl restart nginx → 运维组在所有 WEB 主机上免密重启服务

同步部署是隔离生效的前提

仅在一台机器上定义 Host_Alias 并写规则，其他机器完全无感知。要让权限真正按组隔离，必须确保：

• 所有目标主机都部署了完全一致的 Host_Alias 定义和对应规则行
• 使用 Ansible playbook 或 SaltStack state 批量推送，避免手工逐台修改
• 新增服务器时，同步更新 Host_Alias 列表，并用 visudo -c 验证语法
• /etc/hosts 或 DNS 必须能在每台机器上正确解析别名中的主机名

验证必须登录目标机器实测

不能只看配置写了没，得在具体机器上确认：

• 用目标用户执行 sudo -l -U username，查看当前主机实际列出的命令
• 运行一条授权命令，比如 sudo -u postgres pg_dump -l，观察是否成功或被拒
• 检查 /var/log/sudo.log（若启用），确认匹配的是哪条规则、是否命中 Host_Alias