Linux sudoers中可用User_Alias、Host_Alias、Cmnd_Alias实现配置简化：分别对用户、主机、命令进行逻辑分组，要求别名首字母大写且先定义后引用，配合visudo编辑确保语法正确。

Linux 中用别名简化 sudoers 配置，核心是利用 sudo 自带的 User_Alias、Host_Alias 和 Cmnd_Alias 语法，把重复出现的用户、主机或命令归类命名，再在授权规则里复用。这不是 shell 别名，也不需要写脚本，纯配置层面的逻辑分组。

用户别名：批量授权一组人

用 User_Alias 把多个用户或组聚合起来，避免每加一个人都要写一行规则。

• 格式必须是大写字母开头，只含字母、数字和下划线，例如：User_Alias ADMINS = alice, bob, %ops
• %ops 表示系统中名为 ops 的用户组，支持混合写法（用户 + 组 + 其他别名）
• 定义后，在权限行中直接引用：%ADMINS ALL = (root) /usr/bin/systemctl restart nginx
• 注意：别名必须在使用前定义，否则 visudo 会报错

主机别名：按环境或角色划分机器

当 sudo 策略需区分不同服务器时（比如只允许在数据库服务器上执行备份命令），用 Host_Alias 统一管理目标主机。

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

• 写法示例：Host_Alias DBNODES = db1, db2, 10.10.20.0/24
• 支持主机名、IP 地址、CIDR 网段，甚至子网掩码形式（如 255.255.255.0）
• 授权时直接填别名：%BACKUP_USERS DBNODES = (root) /usr/local/bin/backup-db
• 别名名不区分大小写？错——必须首字母大写，dbnodes 或 1DB 都非法

命令别名：集中管控可执行操作

Cmnd_Alias 是最常用也最容易出错的一类。它把绝对路径命令打包，既防路径写错，也便于后期统一调整权限范围。

• 所有命令必须写完整路径，例如：/usr/bin/apt-get，不能写 apt-get
• 可排除特定参数：!/usr/bin/passwd root 表示禁止修改 root 密码
• 支持嵌套其他别名：Cmnd_Alias NETTOOLS = /usr/sbin/ip, /usr/sbin/ifconfig : Cmnd_Alias ADMIN = /usr/sbin/useradd, /usr/sbin/userdel
• 授权时直接引用：%ADMINS ALL = (root) NOPASSWD: NETTOOLS, ADMIN

关键操作提醒

别名本身不生效，只是“代号”，真正起作用的是把它放进权限规则里。几个实操要点不能漏：

• 永远用 visudo 编辑，不要直接改 /etc/sudoers —— 它会自动语法检查、加锁、保留权限
• 修改完保存前，visudo 会校验；若报错（如第 42 行语法错误），选 e 重新编辑
• 别名定义顺序很重要：必须先定义，再在规则中引用，否则加载失败
• 多条命令建议分行写，提高可读性，例如：
  Cmnd_Alias DEPLOY = \
    /usr/bin/git pull, \
    /bin/systemctl restart app