sudo最小权限分配核心是“给什么、怎么给、怎么管”：一人一账号禁共享root，按绝对路径精确授权命令，禁用shell逃逸，用sudoers.d模块化管理并启用日志审计。
服务器账户与身份认证中，sudo 最小权限分配不是“给不给权限”的问题，而是“给什么、怎么给、怎么管”。核心是让每个用户只拥有完成本职工作所需的最小命令集，杜绝 ALL=(ALL) ALL 这类宽泛配置。
一人一账号，禁用共享与直登 root
所有运维人员必须使用独立系统账户，禁止共用 root 或任意高权限账号。生产环境必须关闭 root 远程登录：
- 编辑 /etc/ssh/sshd_config，设置 PermitRootLogin no，然后运行 sudo systemctl restart sshd
- 创建专用服务账户时加 -r（系统用户）和 -s /sbin/nologin（禁交互登录），例如：sudo useradd -r -s /sbin/nologin appsvc
- 定期检查 /etc/passwd 中 UID 为 0 的非 root 账户，以及 shell 不是 /sbin/nologin 的系统账户
按绝对路径授权，禁用 shell 逃逸
sudo 权限必须精确到具体二进制路径和参数，不能依赖别名或 PATH 查找：
- 用 which systemctl 或 command -v systemctl 确认命令真实路径，例如 /usr/bin/systemctl
- 授权示例：deployer ALL=(www-data) NOPASSWD: /usr/bin/systemctl reload nginx
- 显式拒绝危险入口：Defaults:deployer !shell_noop 和 deployer ALL=(ALL) !/bin/sh, !/bin/bash, !/usr/bin/su
- 避免通配符（如 systemctl *）和参数模糊匹配，防止绕过限制
用别名与 sudoers.d 实现模块化管理
把权限规则按角色或功能拆分，提升可读性与可维护性：
- 在 /etc/sudoers.d/ 下新建文件（如 /etc/sudoers.d/webops），用 sudo visudo -f /etc/sudoers.d/webops 编辑
- 定义命令别名：Cmnd_Alias SERVICE_CTRL = /usr/bin/systemctl start, /usr/bin/systemctl stop, /usr/bin/systemctl restart
- 绑定用户组：%webteam ALL=(root) SERVICE_CTRL nginx, SERVICE_CTRL redis
- 设文件权限：sudo chmod 440 /etc/sudoers.d/webops
启用日志审计与定期验证
所有提权操作必须可追溯、可复盘：
- 在 sudoers 中添加：Defaults logfile="/var/log/sudo.log" 和 Defaults log_input, log_output
- 验证权限是否生效：sudo -l -U username 查看实际可用命令列表
- 测试越权行为：尝试 sudo useradd test 或 sudo /bin/bash，确认被拒绝
- 检查拒绝记录：grep "sudo.*denied" /var/log/auth.log | tail -10（RHEL/CentOS）或 /var/log/syslog（Ubuntu/Debian）
