cmnd_alias 实现精细化运维授权，核心是将绝对路径、固定参数的安全命令打包为逻辑名称，按场景分类（如web_ctl、db_ro），再通过user_alias和runas_alias绑定执行范围，须用visudo编辑并验证。
用 Cmnd_Alias 实现精细化运维指令授权，核心是把具体、安全、可审计的命令集合打包成一个逻辑名称，再精准授予用户或用户组。它不是“给权限”，而是“定义能做什么”，避免宽泛授权带来的风险。
明确命令路径与参数边界
所有命令必须写绝对路径，且参数要尽可能固定。sudo 不解析 shell 通配符，/usr/bin/systemctl * nginx 是非法的；但 /usr/bin/systemctl restart nginx 和 /usr/bin/systemctl reload nginx 可以并列加入别名。
- 只允许带特定参数的命令，比如 /bin/systemctl start app-web，不能写成 /bin/systemctl start app*（除非系统明确支持 glob，而标准 sudo 不支持）
- 若需灵活参数（如日志清理脚本接受任意日期），应封装为 wrapper 脚本，例如 /opt/bin/clean-logs.sh，再把这个脚本路径加入 Cmnd_Alias
- 禁止在别名中使用环境变量（如 $HOME）、管道（|）、分号（;）或重定向（>）
按运维场景组织命令集合
把功能一致、风险相近的操作归为一类，比如 Web 服务控制、数据库只读操作、日志查看等。这样既便于理解，也利于后续审计和调整。
- Web 运维：Cmnd_Alias WEB_CTL = /usr/bin/systemctl reload nginx, /usr/bin/systemctl restart nginx, /usr/bin/tail -n 50 /var/log/nginx/error.log
- DB 安全操作：Cmnd_Alias DB_RO = /usr/bin/mysql -u monitor -h localhost -e "SHOW STATUS", /usr/bin/mysqladmin -u monitor ping
- 部署相关：Cmnd_Alias DEPLOY_CMD = /usr/bin/rsync -av --delete /opt/deploy/ /srv/app/, /usr/bin/systemctl daemon-reload
配合 User_Alias 和 Runas_Alias 控制执行范围
Cmnd_Alias 单独存在没有意义，必须和用户、目标身份、主机范围组合使用，才能形成完整策略。
- 先定义角色：User_Alias DEVOPS = alice, bob, ci-runner
- 再指定以谁身份运行：Runas_Alias APPUSER = deploy
- 最后绑定命令集：DEVOPS ALL = (APPUSER) DEPLOY_CMD
- 如果需要免密执行，在括号后加 NOPASSWD:，例如 DEVOPS ALL = (APPUSER) NOPASSWD: DEPLOY_CMD
验证与维护要点
配置不是一劳永逸，每次修改都要走标准流程确保安全有效。
- 务必用 visudo 编辑，避免语法错误导致 sudo 失效
- 编辑后运行 sudo visudo -c 检查语法
- 切换到目标用户，执行 sudo -l 查看实际被授予的命令列表
- 新增命令时，优先复用已有 Cmnd_Alias；新增用户时，优先加进对应 User_Alias，而非另起规则
