精细配置 sudoers 的 nopasswd 策略核心是精准授权：仅允许带绝对路径的最小命令集，通过 cmnd_alias 统一管理、限定运行身份、启用日志审计，确保自动化场景下安全可控。
精细配置 sudoers 的 NOPASSWD 策略，核心不是“免密码”，而是让自动化脚本、CI/CD 流水线或运维工具（如 Ansible、Jenkins、systemd timer）在不暴露密码、不交互、不提权失控的前提下，精准执行特定操作。关键在于命令白名单 + 上下文约束 + 可审计性。
只放行绝对路径的最小命令集
NOPASSWD 后面必须跟明确的、带完整路径的命令，不能用通配符（如 /usr/bin/systemctl *）、不能省略参数（如只写 /usr/bin/systemctl）、也不能依赖 PATH 搜索。系统只认你写的那一行字面量。
- ✅ 正确示例： deployer ALL=(root) NOPASSWD: /usr/bin/systemctl restart nginx, /usr/bin/journalctl -u nginx -n 50
- ❌ 错误写法： deployer ALL=(root) NOPASSWD: systemctl restart nginx（缺路径，sudo 找不到） deployer ALL=(root) NOPASSWD: /usr/bin/systemctl *（通配符不被解析，且极度危险）
- 提示：用 which 或 command -v 确认真实路径，比如 command -v systemctl 返回 /usr/bin/systemctl，就写这个。
用 Cmnd_Alias 统一管理同类命令
当多个命令属于同一类任务（如部署、备份、日志清理），用别名封装可读性更强、后期维护更安全，避免重复写错路径或漏权限。
- 在 /etc/sudoers.d/deploy-alias.conf 中添加：
- Cmnd_Alias DEPLOY_CMD = /usr/bin/systemctl start myapp*, /usr/bin/systemctl stop myapp*, /usr/bin/systemctl reload myapp*, /opt/myapp/bin/pre-deploy.sh, /opt/myapp/bin/post-deploy.sh
- deployer ALL=(root) NOPASSWD: DEPLOY_CMD
- 这样后续新增一个部署步骤，只需往别名里加一条命令，所有授权用户自动生效，无需逐个改规则。
绑定运行身份与限制目标用户
不要默认用 (ALL)。如果脚本只需以某个服务用户（如 www-data 或 postgres）身份运行，就显式指定，避免意外获得 root 权限。
- 例如数据库备份脚本应以 postgres 身份执行 pg_dump：
- backupuser ALL=(postgres) NOPASSWD: /usr/bin/pg_dump -U postgres mydb
- 若需同时切换用户和组，写成 (postgres:postgres)；仅限制组可用 (:backupgroup)。
- 注意：括号前后、等号前后、NOPASSWD冒号后都必须有空格，少一个空格就会语法报错。
启用日志并验证策略是否生效
免密不等于无痕。必须确保每次 NOPASSWD 执行都被记录，否则无法追溯异常行为。
- 确认全局日志已启用：在 /etc/sudoers 或 /etc/sudoers.d/99-logging.conf 中加入：
- Defaults logfile="/var/log/sudo.log"
- 测试时用 sudo -l -U deployer 查看该用户实际能免密执行哪些命令，输出应清晰列出白名单；
- 手动运行一次免密命令，再查日志：sudo tail -1 /var/log/sudo.log，确认含 USER=deployer ... NOPASSWD 字样。
