细粒度sudo权限管理的核心是“只给刚好够用的权限”，须通过/etc/sudoers或/etc/sudoers.d/精准定义用户、主机、目标身份及带参数的绝对路径命令，必须用visudo编辑并校验语法，禁用通配符、shell特性及交互式工具，推荐按组和Cmnd_Alias集中管理。
细粒度 sudo 权限管理不是“让谁提权”，而是“只准谁、在哪、以谁身份、运行哪条带参数的命令”。核心是精准控制，不靠密码分发，也不靠角色切换，关键在边界清、路径实、范围窄。
必须用 visudo 编辑，别碰 /etc/sudoers 本体
直接用 vim 或 nano 修改 /etc/sudoers 是高危操作。visudo 会在保存前自动校验语法，漏个空格、少个括号、路径写错，都会报错并阻止保存。一旦出错，sudo 全面失效，连 root 都无法恢复（除非进单用户模式）。正确做法是：
- 新增规则优先走 /etc/sudoers.d/ 目录：用 sudo visudo -f /etc/sudoers.d/10-ops 创建独立文件
- 文件名不能含点或波浪号（10-ops ✅，10-ops~ ❌）
- 主文件 /etc/sudoers 只保留 Defaults 和 include 行，不写具体授权
- 编辑前先备份：sudo cp /etc/sudoers /etc/sudoers.bak.$(date +%s)
命令必须写绝对路径，参数要明确限定
sudoers 对路径极其敏感。相对路径、通配符滥用、shell 特性（重定向、管道、变量）都会被拒绝或引发越权风险。
- ✅ 正确：/usr/bin/systemctl restart nginx、/usr/bin/journalctl -u nginx --since "1 hour ago"
- ❌ 错误：systemctl restart nginx（没路径）、/bin/ls /var/log/*（通配符太宽）、/bin/echo "ok" > /tmp/log（含重定向）
- 查真实路径用：which systemctl 或 command -v systemctl，再用 ls -l 确认是否为硬链接或别名
- 通配符 * 只能用于末尾参数（如 /usr/bin/tail /var/log/app/*.log），禁用 /usr/bin/*
按组 + 命令别名集中管理，避免逐个写死
多人承担同类职责时，硬编码用户和命令极易出错、难审计、不可扩展。推荐分层抽象：
- 建运维组：sudo groupadd ops，加人：sudo usermod -aG ops alice
- 定义命令白名单：Cmnd_Alias NGINX_OP = /usr/bin/systemctl restart nginx, /usr/bin/systemctl reload nginx
- 绑定权限：%ops ALL=(root) NOPASSWD: NGINX_OP
- 后续增人只需 usermod -aG ops newuser，不改 sudoers 文件
守住最小必要边界，显式拒绝高危入口
细粒度的本质是“最小必要”。哪怕免密，也要堵住所有逃逸路径：
- 禁用所有交互式 shell：! /bin/bash、! /bin/sh、! /usr/bin/python3 -c
- 禁用可执行任意代码的工具：! /usr/bin/perl、! /usr/bin/less、! /usr/bin/su
- 若需调用脚本，确保其属主为 root、权限为 0555、内容不可篡改
- 重启服务类操作可配 NOPASSWD，但仅限该完整命令，不继承二进制其他能力
