linux权限控制采用“用户—组—sudo”三层结构：用户与组是权限分配基础，组用于批量授权；sudo实现最小特权的可审计提权，需白名单限制命令而非泛用nopasswd。
Linux权限控制的核心在于“用户—组—sudo”三层结构，理清三者关系并合理配置，才能兼顾安全与效率。
用户与组：权限分配的基础单元
每个文件或目录的访问控制都绑定到一个所有者（user）和一个所属组（group）。用户可以属于多个组，但文件只能有一个所有者和一个所属组。因此，组是批量授权的关键——把需要相同权限的用户加入同一组，再通过chmod g+rwx等命令赋予组权限，比逐个设用户权限更可维护。
- 创建用户时用useradd -m -G wheel,devops alice，直接将其加入多个辅助组
- 避免将敏感操作权限（如/etc/shadow读写）直接赋给用户，优先通过组间接控制
- 定期用getent group和id username核对成员关系，防止组配置漂移
Sudo：以最小特权执行特权操作
Sudo不是绕过权限，而是按需、可审计、可约束地提升权限。默认配置（/etc/sudoers）应禁用NOPASSWD泛用，对具体命令做白名单限制。
- 用visudo编辑配置，添加类似%admin ALL=(root) /bin/systemctl restart nginx，限定用户组仅能重启nginx
- 启用log_input，确保交互式调用且记录命令输入内容
- 禁止直接sudo su -或sudo bash，改用sudo -i（受sudoers策略约束）或明确指定命令
权限检查与日常运维要点
权限问题常表现为“明明加了组却没权限”，多数源于会话未刷新或ACL覆盖。每次变更后需验证实际效果，而非仅确认配置写入。
- 用户登录后新增组成员身份，需重新登录或运行newgrp groupname激活（仅对当前shell有效）
- 用ls -l看基础权限，用getfacl查扩展ACL——后者可能覆盖传统ugo权限
- 关键服务目录（如/var/www）建议设置setgid位（chmod g+s），使新建文件自动继承父目录组
这套体系不追求绝对隔离，而是在可控范围内让权限随职责流动。配置越细粒度，审计线索越清晰，事故回溯也越快。
