Linux 用户权限管理：配置 Sudo 日志记录与审计-linux运维-PHP中文网

linux sudo日志审计需主动配置而非默认启用，必须设置logfile和log_input记录完整命令行，独立存储并设600权限，配合logrotate轮转与chattr+i防篡改，结合最小权限授权及auditd内核级兜底审计。

linux 用户权限管理：配置 sudo 日志记录与审计

Linux 用户权限管理中，sudo 日志记录与审计不是“打开就完事”的功能，而是需要明确配置、分层加固、协同验证的一套机制。默认日志只记谁、何时、执行了什么命令路径，不带参数、无输入输出、不存退出码，更无法还原操作上下文。要真正满足安全审计要求，必须主动增强配置。

默认 sudo 日志常省略命令参数，容易掩盖真实意图（如 sudo rm -rf / 可能只显示 /bin/rm）。必须显式启用 log_input 才能捕获完整命令行：

用 visudo 编辑 /etc/sudoers，追加两行：
Defaults logfile="/var/log/sudo.log"
Defaults log_input
保存前务必运行 sudo visudo -c 校验语法
执行测试命令（如 sudo ls -l /root），检查 /var/log/sudo.log 是否出现类似字段：
USER : TTY=pts/0 ; PWD=/home/test ; USER=root ; COMMAND=/bin/ls -l /root

混入系统日志（如 /var/log/auth.log）难排查，且默认权限宽松易被覆盖或篡改。应独立存放并设严苛访问控制：

Computer Use Linux

顶级 Linux 计算机使用技能，配套独立自举运行时，无需本地 Claude 安装、私有原生模块等。

下载

创建专属目录并初始化日志文件：
sudo mkdir -p /var/log/sudo
sudo touch /var/log/sudo.log
sudo chown root:root /var/log/sudo.log
sudo chmod 600 /var/log/sudo.log

配置 logrotate 自动轮转，在 /etc/logrotate.d/sudo 中写入：

/var/log/sudo.log {<br>
  daily<br>
  rotate 30<br>
  compress<br>
  create 600 root root<br>
  missingok<br>
}

再完整的日志也挡不住宽泛授权。一条 %admin ALL=(ALL) ALL 就让所有审计形同虚设：

按最小权限原则精确授权，例如：
alice ALL=(root) /usr/bin/systemctl restart nginx
用 Cmnd_Alias 分组管理常用操作：
Cmnd_Alias BACKUP = /usr/bin/tar -cf /backup/*, /bin/mv /tmp/*.tar.gz /backup/
%backup ALL=(root) NOPASSWD: BACKUP
禁止使用 /bin/*、/usr/bin/* 等通配符；避免放行 /bin/bash 却禁用 /bin/sh 这类不一致配置

sudo 日志可被绕过（如直接调用 su、利用 shell 内建命令、或通过脚本间接执行）。auditd 能捕获 execve 系统调用，提供不可篡改的底层证据：

确认服务运行：sudo systemctl is-active auditd
添加监控规则：
sudo auditctl -a always,exit -F path=/usr/bin/sudo -F perm=x -k sudo_exec
sudo auditctl -a always,exit -F path=/etc/sudoers -F perm=r -k sudoers_read
将规则持久化到 /etc/audit/rules.d/sudo.rules，再重启 auditd
事后分析：sudo ausearch -k sudo_exec | aureport -f -i 查看调用链