最稳妥高效的方式是创建专用用户组（如adminops），再通过/etc/sudoers.d/独立片段统一授权：sudo groupadd adminops、sudo usermod -aG adminops alice、sudo visudo -f /etc/sudoers.d/adminops写入%adminops ALL=(ALL:ALL) /usr/bin/systemctl等绝对路径命令，并设chmod 440，最后用sudo -l -U alice验证权限范围。
最稳妥高效的方式是创建专用用户组，再通过 /etc/sudoers 或 /etc/sudoers.d/ 统一授权，避免逐个配置、便于后期维护。
创建并管理权限组
先建立一个新组（如 adminops），再把需要授权的用户加入该组：
- 创建组：
sudo groupadd adminops - 添加用户（追加，不覆盖原有组）：
sudo usermod -aG adminops alice、sudo usermod -aG adminops bob - 确认生效：
groups alice输出中应含adminops；用户需重新登录才可使用新权限
在 sudoers 中按组授权
用 visudo 安全编辑主配置文件，或更推荐使用独立片段方式：
- 主文件方式（末尾添加）：
%adminops ALL=(ALL:ALL) /usr/bin/systemctl, /usr/sbin/useradd, /usr/bin/apt - 独立片段方式（推荐）：
sudo visudo -f /etc/sudoers.d/adminops，写入相同规则，保存后执行：sudo chmod 440 /etc/sudoers.d/adminops - 注意：组名前必须加
%符号；命令务必用绝对路径；避免写ALL，只列实际需要的命令
验证与安全要点
授权后立即验证是否按预期生效，并守住关键安全边界：
- 检查权限范围：
sudo -l -U alice，确认列出的是你设定的命令，不是(ALL : ALL) ALL - 禁用交互式提权工具：
/bin/bash、/usr/bin/python3、/bin/sh不应出现在允许列表中 - 启用日志审计：确保
/etc/sudoers中有Defaults logfile="/var/log/sudo.log"或类似配置 - 定期审查：
sudo grep -v "^#" /etc/sudoers /etc/sudoers.d/* | grep "%" | sort -u快速查看所有组级授权
