Linux sudo最小权限授权需用visudo编辑/etc/sudoers，精确控制用户、主机、目标身份及绝对路径命令，优先使用/etc/sudoers.d/和别名分层管理，并启用全链路审计。
让普通用户执行指定的管理命令，核心是通过 sudo 机制实现“最小权限授权”，而不是直接给 root 密码或切换用户。关键不在于放开所有权限，而在于精准控制：谁、在哪台机器、能运行哪些命令、以什么身份运行。
明确授权范围：编辑 /etc/sudoers 文件
必须使用 visudo 命令（而非直接 vim）打开配置文件，它会语法校验，避免错误导致 sudo 失效。
- 切换到 root 用户后执行：visudo
- 在文件末尾添加一行，格式为：用户名 主机别名=(目标用户) 命令路径
- 例如，只允许用户 alice 重启 nginx，不输密码：alice ALL=(root) NOPASSWD: /bin/systemctl restart nginx
- 命令路径必须写绝对路径（可用 which systemctl 查），不能用别名或 shell 函数
按需分组：用别名简化管理
当要授权多个命令或多个用户时，用别名更清晰、易维护。
- Cmnd_Alias WEBADM = /bin/systemctl start nginx, /bin/systemctl stop nginx, /usr/bin/nginx -t
- User_Alias ADMINS = alice, bob
- 再写授权行：ADMINS ALL=(root) NOPASSWD: WEBADM
- 这样新增管理员或命令时，只需改别名定义，不用动多行授权规则
限制执行环境：防止绕过安全边界
仅允许特定命令还不够，还需防范利用命令本身做越权操作。
- 避免授权带通配符或 shell 特性的命令，如 /bin/bash、/usr/bin/vi（可执行 :!sh）
- 对脚本类命令，确保脚本属主和权限严格（如 root:root 且 755），且内容不可被普通用户修改
- 必要时加 requiretty 选项，强制命令只能在终端中运行，防后台提权
验证与审计：确认生效并留痕
配置完不是终点，要验证行为是否符合预期，并保留操作记录。
- 普通用户执行：sudo -l 查看自己被授予了哪些命令
- 实际运行一次授权命令，观察是否免密、是否报错、结果是否正确
- 所有 sudo 操作默认记入 /var/log/auth.log 或 /var/log/secure，含用户、时间、命令、结果
- 日志里出现 COMMAND=... 行，就是真实执行的命令，可用于事后追溯
