Linux中通过User_Alias、Host_Alias和Cmnd_Alias三类别名对用户、主机、命令逻辑分组，提升sudoers可读性、可维护性与安全性；别名需大写开头、定义在规则前，命令须绝对路径且禁用通配符，推荐使用/etc/sudoers.d/分离管理并开启日志审计。
Linux 中通过别名简化 sudoers 权限配置，核心是用 User_Alias、Host_Alias 和 Cmnd_Alias 三类别名对用户、主机、命令进行逻辑分组，避免重复写死信息，提升可读性、可维护性和安全性。
用户别名：批量管理授权对象
把多个用户或组归为一个命名组，后续规则中直接引用，新增成员只需改组或加别名定义，不碰权限行。
- 格式必须大写字母开头，只含字母、数字、下划线：如 User_Alias DBA = alice, bob, %db-admins
- %db-admins 是系统已有组，自动包含其所有成员
- 别名定义必须放在对应授权规则之前，否则 visudo 校验会失败
主机别名：统一控制生效范围
把目标服务器按角色或环境归类，比如生产库、测试 Web、CI 节点等，让权限只在指定机器上生效。
- 支持主机名（web01）、IP（192.168.10.5）、CIDR 网段（10.0.0.0/24）
- 示例：Host_Alias PROD_DB = db1, db2, 192.168.5.100
- 授权时直接写别名：DBA PROD_DB = (postgres) /usr/bin/pg_ctl start
命令别名：精确限定可执行操作
把需要授权的命令打包成组，路径必须绝对、参数尽量显式，禁止通配符滥用，便于审计和后期调整。
- 每个命令写全路径：/usr/bin/systemctl，不能写 systemctl
- 可用叹号排除危险变体：!/usr/bin/passwd root
- 支持嵌套别名：Cmnd_Alias ADMIN = /usr/sbin/useradd, /usr/sbin/userdel : Cmnd_Alias NET = /sbin/ip, /bin/ping
- 最终授权行里直接引用：DBA ALL = (root) NOPASSWD: ADMIN, NET
最佳实践：安全落地的关键动作
别名只是语法糖，真正起效依赖规范操作和最小权限原则。
- 永远用 sudo visudo -f /etc/sudoers.d/myteam 新建规则文件，不要直接改 /etc/sudoers
- 主文件只保留 Defaults 和 include /etc/sudoers.d/，保持干净
- 所有命令加 NOPASSWD: 前必须确认无提权风险；敏感操作仍应强制密码
- 开启日志：Defaults logfile="/var/log/sudo.log", log_input, log_output
