技术弄巷

读完仅需

5

分钟

记得星标公众号

一、sudo 授权机制介绍

1. 核心作用

• 让普通用户能够执行特权命令（如 fdisk、iptables、useradd 等）
• 无需共享 root 密码
• 所有操作记录到日志，可审计、可追溯
• 实现精细化权限控制，提升服务器安全

2. 配置文件

• 主配置文件：/etc/sudoers
• 强烈建议使用 visudo命令编辑
  （自带语法检查，避免配置错误导致无法sudo）

二、针对单个用户授权

1. 基础语法

用户名  允许登录的主机=允许执行的命令

2. 给用户授权多个命令

martin  ALL=/usr/sbin/fdisk,/usr/bin/chmod

普通用户执行：

sudo fdisk /dev/sda

首次使用会出现提示，并要求验证用户密码。

3. 查看操作日志

所有 sudo 操作都会记录在：

/var/log/secure

示例日志：

martin : TTY=pts/0 ; USER=root ; COMMAND=/sbin/fdisk /dev/sda

4. 免密授权（NOPASSWD）

让用户执行特权命令不需要输入密码：

robin   ALL=NOPASSWD:/usr/sbin/fdisk

也可以精确限定命令参数：

robin   ALL=NOPASSWD:/usr/sbin/fdisk /dev/sdb

5. 禁用危险命令（! 取反）

martin ALL=NOPASSWD:ALL,!/usr/bin/rm,!/usr/bin/dd if=/dev/zero of=/dev/sda bs=446

• ALL
  ：允许所有命令
• !command
  ：禁止该命令
• 可防止用户删库、破坏磁盘等高危操作

三、针对用户组授权

1. 语法格式

%组名   主机=命令

2. 示例

给技术组授予所有权限，但禁止 rm：

%jishu  ALL=ALL,!/usr/bin/rm

3. 重要安全建议

建议注释/删除默认的 wheel 组授权：

# %wheel  ALL=(ALL)   ALL

避免加入 wheel 组的用户默认获得全部 root 权限，带来安全风险。

四、基于命令别名授权（企业规范用法）

将一类命令定义为别名，便于统一授权、可读性更强、易于维护。

1. 定义命令别名

Cmnd_Alias NETWORKING = /sbin/route, /sbin/ifconfig, /bin/ping, /sbin/dhclient, /usr/bin/net, /sbin/iptables

2. 给用户授权别名

robin   ALL=NOPASSWD:NETWORKING

可根据岗位定义：

• NETWORKING：网络命令
• STORAGE：磁盘命令
• SERVICE：系统服务命令
• USERMANAGE：用户管理命令

五、核心要点总结

1. sudo 是 Linux 标准提权工具
   ，实现普通用户最小权限管理。
2. 配置文件 /etc/sudoers，必须用 visudo编辑。
3. 授权格式：用户 主机=命令。
4. NOPASSWD:
   可实现免密提权，适合自动化脚本。
5. !
   可禁用高危命令，提高安全性。
6. 支持用户组授权，%组名格式。
7. 命令别名
   让授权更规范、更易维护。
8. 所有操作记录在 /var/log/secure，可审计。
9. 企业安全规范：禁止直接给用户 ALL 权限，禁止启用 wheel 组默认权限。

文末互动

sudo 是企业 Linux 运维、权限管理、安全合规的必备技能，用好它既能提升效率，又能避免权限泛滥带来的风险。本文覆盖生产环境中最常用的全部配置方式，拿来即用。

如果这篇文章对你有帮助，记得点赞+收藏+关注，后续我会持续更新： ✅ Linux 账号安全与权限审计 ✅ 一键加固 sudo 配置脚本 ✅ 自动化运维权限最佳实践 ✅ 服务器安全加固系列