场景：sudo 报错排查（不在 sudoers / command not allowed）

用户执行 sudo 被拒：先分清是「未授权」还是「命令未授权」，再看 policy 来源（主文件/drop-in/LDAP），按审计日志定位。

场景	sudo: not in sudoers / command not allowed
目标	定位策略缺口并最小化补权
工具链	sudo -l → visudo -c → journalctl → 授权

第 1 步：看用户被授权了什么

sudo -l -U zhangsan
sudo -ll -U zhangsan     # 展开全部来源

journalctl -t sudo -n 50
# 或
grep -i 'COMMAND=' /var/log/secure | tail -n 20

visudo -c
grep -R zhangsan /etc/sudoers /etc/sudoers.d/ 2>/dev/null

visudo -f /etc/sudoers.d/zhangsan
# zhangsan ALL=(root) NOPASSWD: /bin/systemctl restart myapp
visudo -c && sudo -l -U zhangsan

sudo 拒绝时退出码 1 并在日志写明用户/命令/来源；看懂日志里的 policy 来源能立刻判断该改哪个文件。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌