企业级Linux sudo授权实行技术闭环管理：配置即审批、日志即凭证、复核即回收；严格遵循最小权限原则，每条规则须明确用户、主机、目标身份、命令四要素；禁用高危模式，命令须绝对路径+参数约束；所有配置文件纳入Git版本化管理；启用requiretty、noexec、时间窗等审计与防护机制；权限生命周期自动化回收。
企业级 Linux sudo 授权不是走OA审批流，而是技术闭环管理：配置即审批、日志即凭证、复核即回收。核心是把“人审权限”转化为“机器可验证、过程可追溯、到期必清理”的工程实践。
授权必须基于最小权限原则，拒绝任何形式的宽泛配置
每条 sudo 规则都要回答四个问题：谁（User_Alias）、在哪台机器（Host_Alias）、以谁身份（target user）、执行哪条命令（Cmnd_Alias）——缺一不可。
- 禁用 ALL=(ALL) ALL、/usr/bin/*、sudo su、sudo -i 等高危模式
- 命令必须写绝对路径，带显式参数约束，例如：
/bin/systemctl restart nginx ✅
/bin/systemctl ❌
/bin/kill -s HUP [0-9]* ✅
/bin/kill ❌ - 新增权限必须通过 sudo visudo -f /etc/sudoers.d/teamname-202609 创建独立文件，文件名含日期便于追踪和自动清理
所有变更强制纳入配置治理，禁止手工直改
sudo 配置是生产环境关键基础设施，必须像代码一样版本化、评审、部署。
- 所有 /etc/sudoers.d/ 下的文件需纳入 Git 仓库，提交时注明：
– 修改人、时间
– 对应工单号或安全需求编号
– 权限用途说明（如：“仅用于每日备份脚本触发”，非“运维需要”） - 主文件 /etc/sudoers 仅保留两行：
Defaults logfile="/var/log/sudo.log", log_input, log_output, requiretty
#includedir /etc/sudoers.d - 禁止使用 usermod -aG sudo 或 usermod -aG wheel 开放全权；组方式仅用于测试环境或强管控下的临时账号
执行上下文与审计能力必须叠加启用
光限制命令不够，还要锁住执行场景，防止绕过。
- 启用 requiretty 阻断非交互式提权（如 Web 后台、crontab、SSH 命令注入）
- 对高危操作加时间窗限制，例如：
alice TIME_MAINT = (root) /usr/bin/systemctl restart app.service
配合 Cmnd_Alias TIME_MAINT + Defaults:alice timestamp_timeout=0 - 禁用 shell 逃逸：Defaults noexec，并显式屏蔽 ! /bin/sh、! /usr/bin/python3 -c、! /usr/bin/less 等入口
- 日志必须接入 SIEM（如 ELK/Graylog），对 rm -rf、dd if=、chown -R root: 等关键词设置实时告警
定期回收不是“提醒一下”，而是自动化强制动作
权限生命周期必须有明确起点和终点，不能依赖人工记忆或邮件催办。
- 每季度执行三步检查：
– sudo -l -U username 查当前生效规则
– grep "username" /var/log/sudo.log | awk '{print $1,$2,$3,$9}' | sort -u 查真实执行行为
– find /etc/sudoers.d/ -name "*-202[0-5]*" -delete 清理过期策略文件 - 离职/外包人员账号当天冻结，并同步从所有 sudoers.d 文件中移除用户或组成员资格
- 临时权限（如供应商支持）必须绑定有效期，例如文件命名为 vendor-support-20260915-20260930，到期前由 CI 流水线自动归档并告警
