| 用途 | 写出可维护的最小权限 sudo 策略 |
|---|---|
| 语法 | 用户 主机=(目标用户) 命令 |
| 约束 | Cmnd_Alias 里命令必须绝对路径） |
企业常用范式
企业常用范式
User_Alias DEVOPS = alice, bob
Cmnd_Alias SVC = /usr/bin/systemctl restart app*, /usr/bin/systemctl status app*
Cmnd_Alias BACKUP = /opt/scripts/backup.sh
DEVOPS ALL=(root) NOPASSWD: SVC
DEVOPS ALL=(root) BACKUP, !/opt/scripts/backup.sh *
# 默认要求输入密码；
# Defaults:DEVOPS !requiretty # 允许非 tty（自动化）执行校验与查看
校验与查看
sudo visudo -c # 语法检查（改前必跑）
sudo -l -U alice # 查看 alice 被授予的权限命令通配符 * 可被绕开：/bin/sh -c 类入口必须显式拒绝；sudo 授权遵循「最小可用」原则。