安全加固65 条

sudo 免密策略的最小化使用

自动化与运维机器人需要免密时，按命令粒度配置 NOPASSWD；范围写宽等于放大风险，定期复核授权清单并清理失效条目。

信创系统运维速查系统更新于 2026-10-12

片段示例与复核

# /etc/sudoers.d/deploy（只放行固定命令）
deploy ALL=(root) NOPASSWD: /usr/bin/systemctl restart myapp
deploy ALL=(root) NOPASSWD: /usr/bin/systemctl status myapp
# 复核
sudo -l -U deploy
grep -rn NOPASSWD /etc/sudoers /etc/sudoers.d/ 2>/dev/null
visudo -c

NOPASSWD: ALL 等价于免口令 root：仅在隔离的自动化账户上按需使用，评审通过后及时收敛。

易错点

命令匹配按实际执行路径与参数模式：写 /usr/bin/systemctl 会放行其大量参数组合，范围可再收窄
被授权脚本若普通用户可写，免密 sudo 会变成完整提权通道，脚本与目录权限一并核查

数据来源与参考

man 5 sudoers（NOPASSWD）
sudo 官方文档（命令匹配）

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌