host_alias本身不实现跨主机权限管理，仅用于逻辑分组主机名、ip或通配符；真正实现跨主机权限需在每台目标主机同步部署含该别名及对应授权规则的sudoers配置。

Host_Alias 本身不实现跨主机权限管理，它只是把一批主机名、IP 或通配符归为一个名字，方便写规则。真正让权限“跨主机”生效，靠的是在每台目标机器上都部署一致的 sudoers 配置。

Host_Alias 的作用是逻辑分组，不是自动同步

比如定义：

• Host_Alias DB_SERVERS = db1, db2, 192.168.10.50
• Host_Alias WEB_CLUSTER = web[01-04], *.prod.example.com

这些只是起了个名字，不执行任何授权动作。是否允许某人在 db1 上执行命令，取决于该主机本地 /etc/sudoers（或 /etc/sudoers.d/ 下）有没有包含对应规则，且该规则里用了 DB_SERVERS 这个别名。

跨主机权限生效的关键是配置同步

单台机器上配好 Host_Alias 和规则，其他机器不会自动知道。必须确保所有目标主机都拥有完全相同的别名定义和授权行。常见做法有：

• 用 Ansible、SaltStack 等工具批量推送 sudoers 或 /etc/sudoers.d/ 下的规则文件
• 把 sudoers 片段纳入 Git 版本管理，配合部署脚本分发到各主机
• 避免手工一台台改，否则容易漏配、错配，甚至因语法错误导致 sudo 失效

典型授权规则写法（结合 Host_Alias）

例如，让运维组在数据库服务器上以 postgres 身份重启服务：

• User_Alias OPS = alice, bob, %wheel
• Runas_Alias PG_RUNAS = postgres
• Cmnd_Alias PG_RESTART = /bin/systemctl restart postgresql-*
• OPS DB_SERVERS = (PG_RUNAS) NOPASSWD: PG_RESTART

注意：DB_SERVERS 出现在规则第二字段，表示这条规则只在匹配的主机上解析；而 OPS 和 PG_RESTART 分别约束用户范围和可执行命令。

验证权限是否真正在目标主机上生效

不能只看配置写了没，要登录到具体机器上测试：

• 用目标用户执行 sudo -l -U username，查看当前主机实际授予了哪些命令
• 尝试运行一条授权命令，如 sudo -u postgres systemctl restart postgresql
• 检查 /var/log/sudo.log（如果已启用日志）确认拒绝或执行记录