服务器跨主机权限同步的关键是确保各主机sudoers配置完全一致，而非自动同步；host_alias仅作逻辑分组，实际授权依赖每台机器本地配置；需通过ansible或git统一分发/etc/sudoers.d/下的策略片段，并在目标主机验证sudo -l及命令执行效果。
服务器跨主机权限同步，核心不是“自动同步权限”，而是让多台主机执行**完全一致的权限策略**。Host_Alias 本身只是个分组标签，不带传播能力；真正起作用的是每台机器本地的 /etc/sudoers 或 /etc/sudoers.d/ 配置必须完全相同。
明确 Host_Alias 的定位
Host_Alias 只做逻辑归类，不触发任何动作：
- 例如
Host_Alias DB_SERVERS = db1, db2, 192.168.10.50—— 这行只定义了一个名字，不授权、不同步、不生效 - 是否允许用户在
db1上执行命令，取决于db1本机的 sudoers 文件里有没有含DB_SERVERS的授权规则 - 哪怕你在
web01上完整写了别名和规则，db1不配置，它就完全不知道这个策略
确保所有目标主机配置一致
这是唯一能让“跨主机权限”落地的前提：
- 把 sudoers 规则拆成可复用的片段，比如
/etc/sudoers.d/90-ops-db-access，内容包含User_Alias、Host_Alias、Cmnd_Alias和具体授权行 - 用 Ansible 批量推送：任务中校验语法（
visudo -c）、备份旧文件、覆盖新配置、重载或提示重启 sudo 服务 - 或纳入 Git 管理，配合部署脚本（如 rsync + ssh）分发到各主机，避免手工逐台修改导致漏配或语法错误
写一条典型跨主机授权规则
规则结构要体现“谁、在哪、能做什么”：
-
User_Alias OPS = alice, bob, %wheel—— 定义可用用户范围 -
Host_Alias DB_SERVERS = db[1-3], 10.0.20.*—— 定义适用主机范围 Cmnd_Alias PG_CMD = /bin/systemctl restart postgresql-*, /usr/bin/pg_ctl reload-
OPS DB_SERVERS = (postgres) NOPASSWD: PG_CMD—— 第二字段DB_SERVERS是关键，表示该行仅在匹配主机上解析并生效
验证权限是否真正在目标主机生效
不能只看配置有没有写，必须登录到具体机器上实测：
- 用目标用户执行
sudo -l -U alice，确认列出的命令与预期一致 - 实际运行一条授权命令，如
sudo -u postgres systemctl restart postgresql-14 - 检查
/var/log/secure或journalctl _COMM=sudo，确认有执行记录或拒绝日志
