服务器sudo权限最小化分配的核心是精准控制命令路径、执行身份、环境变量和操作上下文，禁用全开配置、通配符与目录级授权，明确拒绝高危shell入口，限定目标用户与工作目录，重置环境变量，强制日志审计、密码验证、会话超时及io记录，并通过别名分组与定期审查实现闭环管理。
服务器 sudo 权限最小化分配，核心是“只给刚好够用的权限”，不是不给，而是精准控制——命令路径、执行身份、环境变量、操作上下文，一个都不能含糊。
只授权绝对路径的必要命令
禁止使用 ALL=(ALL) ALL 或 %sudo ALL=(ALL:ALL) ALL 这类全开配置。它等于把系统钥匙交出去，违背最小权限本质。
- 每条规则必须写明完整绝对路径，例如：/usr/bin/systemctl restart nginx，不能简写为 systemctl
- 禁用通配符（如 /usr/bin/*）和目录级授权（如 /usr/bin/），防止命令被替换或滥用
- 明确拒绝高危入口：在 sudoers 中添加类似以下行，堵住 shell 提权路径
Defaults:user1 !shell_noop
user1 ALL=(root) !/bin/sh, !/bin/bash, !/usr/bin/su, !/usr/bin/sudo -i, !/usr/bin/sudo -s
限定目标用户、环境与工作目录
同一命令以不同身份运行，效果可能天差地别。比如清理日志只需以 www-data 身份执行，绝不该用 root。
- 指定目标用户：如 devuser ALL=(www-data) /usr/bin/find /var/log/app -name "*.log" -mtime +7 -delete
- 重置并限制环境变量：Defaults:devuser env_reset，再白名单保留必要项：Defaults:devuser env_keep += "LANG LC_* PATH"
- 禁止继承当前目录：Defaults:devuser always_set_home，避免相对路径触发恶意脚本
启用日志审计与行为约束
没有记录的权限，等于不可控的权限。所有 sudo 操作必须可追溯、可干预。
- 强制写入独立日志：Defaults logfile="/var/log/sudo.log"，并确认 rsyslog 或 journald 正在采集该路径
- 对敏感操作要求密码验证（即使其他命令免密）：devuser ALL=(root) PASSWD: /usr/bin/mysqldump --single-transaction myapp
- 设置会话超时：Defaults:devuser timestamp_timeout=5（单位分钟），避免提权状态长期有效
- 启用输入/输出记录（需配合 logsrvd）：Defaults log_input, log_output，用于关键操作回溯
用别名分组 + 定期审查机制
权限不是一次配置就完事，必须形成闭环管理。
- 用别名提升可维护性：
User_Alias OPS = alice, bob
Cmnd_Alias DEPLOY = /usr/bin/systemctl start app, /usr/bin/systemctl reload app
OPS ALL = (root) DEPLOY - 每月执行 sudo -l -U username 核查实际生效权限，比对 /etc/sudoers 和 /etc/sudoers.d/* 全部文件
- 员工离职或转岗后，立即从对应组中移除，或直接注释其规则；推荐统一通过组管理（如 %ops），而非逐个用户配置
不复杂但容易忽略：每次修改必须用 visudo 编辑，它会做语法校验；直接编辑出错可能导致所有用户无法使用 sudo。
