host_alias 是 sudoers 中定义的逻辑主机别名，用于将多台服务器按业务/环境/角色分组，实现批量授权。它支持主机名、ip、cidr及嵌套别名，提升权限管理效率与可维护性。
Host_Alias 的核心作用，是把一批服务器按业务、环境或角色归为一组，让 sudo 授权规则能一次性覆盖整组机器，不用逐台写重复配置。
Host_Alias 是什么
它不是真实存在的网络分组，而是在 /etc/sudoers 文件里定义的逻辑主机别名。成员可以是主机名（支持通配符）、IP 地址、CIDR 网段，甚至其他已定义的 Host_Alias。
例如：
- Host_Alias PROD_DB = db01, db02.prod.example.com, 10.20.30.0/24
- Host_Alias STAGE_WEB = web-stg-*, 192.168.5.*
为什么需要它
当运维几十上百台服务器时，如果每台都单独授权，维护成本高、易出错、难审计。用 Host_Alias 后，你只需写一条规则，比如“DBA 组在所有 PROD_DB 主机上可执行数据库命令”，就能自动生效到该组全部机器。
特别适合以下场景：
- 同一套 /etc/sudoers 文件通过配置管理工具（如 Ansible、SaltStack）统一下发
- 混合环境（物理机+云主机+容器节点）需按用途隔离权限
- 灰度发布中，只对 staging 组开放特定调试命令
怎么正确定义和使用
定义必须放在引用它的授权规则之前，且名称只能用大写字母和下划线。
- 支持通配符：Host_Alias WEBNODES = web-0[1-9], web-1[0-9] 匹配 web-01 到 web-19
- 支持域名后缀：Host_Alias API_SERVERS = *.api.internal
- 可嵌套引用：Host_Alias ALL_PROD = PROD_DB, PROD_APP, PROD_CACHE
- 授权时直接写别名：DBA ALL_PROD = (postgres) /usr/bin/pg_ctl
注意：若 sudoers 文件由集中配置系统分发，确保各节点的 hostname 或 /etc/hosts 解析结果与别名定义一致，否则匹配失败。
常见误区提醒
- 别名里不能混用类型——Host_Alias 只能包含主机信息，不能塞用户名或命令路径
- 通配符不支持正则，* 只匹配任意长度字符串，? 匹配单个字符，不支持 [a-z] 这类写法
- 本地测试时，sudo -l -U username 显示的是当前主机是否匹配，不是跨主机验证；真要测多机效果，得登录目标机器执行
- 不要依赖 ALL 代替 Host_Alias——虽然方便，但失去分组语义，后期扩缩容或策略调整时会很被动
