要让自动化运维脚本在 sudo 下无交互提权，关键是用 nopasswd 精准授权绝对路径的单个脚本或 cmnd_alias 组合命令，限定运行身份（如 postgres），严格校验语法与日志，并通过 sudo -n 实测验证。
要让自动化运维脚本在 sudo 下无交互提权，关键不是“关掉密码”，而是用 NOPASSWD 精准授权——只放行脚本实际需要的那几条命令，路径写死、身份锁紧、日志留痕。
只授权绝对路径的单个脚本
脚本本身必须是可执行文件，且路径完整、无歧义。sudo 不认别名、不查 PATH、不展开通配符。
- 先确认真实路径：
realpath /opt/bin/backup.sh或which /opt/bin/backup.sh，假设输出是/opt/bin/backup.sh - 不要写
/opt/bin/*、backup.sh或/opt/bin/backup（缺后缀） - 正确写法示例（放入
/etc/sudoers.d/文件中）：deployuser ALL=(root) NOPASSWD: /opt/bin/backup.sh
用 Cmnd_Alias 管理多命令组合
一个运维任务常涉及多个命令（如启停服务 + 清日志 + 重载配置），用别名统一定义，既清晰又防漏配。
- 新建
/etc/sudoers.d/deploy-cmds.conf，内容如下： Cmnd_Alias DEPLOY_OPS = /usr/bin/systemctl restart app.service, /usr/bin/journalctl --vacuum-size=100M, /bin/rm -f /var/log/app/*.olddeployuser ALL=(root) NOPASSWD: DEPLOY_OPS- 后续新增操作，只需往别名里加一行，所有用户自动继承，无需改规则主体
限定运行身份，避免权限溢出
多数脚本不需要 root，比如数据库备份应以 postgres 身份运行；Web 部署脚本可能只需 www-data 权限。
- 错误写法：
backupuser ALL=(ALL) NOPASSWD: /usr/bin/pg_dump …→ 可提权到任意用户 - 正确写法：
backupuser ALL=(postgres) NOPASSWD: /usr/bin/pg_dump -U postgres mydb - 若需指定组，写成
(postgres:postgres)或仅限组(:backupgroup) - 括号前后、等号前后、NOPASSWD 冒号后，都必须有空格，少一个就语法报错
验证与加固：免密 ≠ 无痕
配置完必须实测，且确保行为可控、日志可查。
- 切到目标用户：
su - deployuser，然后执行：sudo -n /opt/bin/backup.sh（-n强制跳过密码提示，失败会直接报错，不卡住） - 检查生效规则：
sudo -l -U deployuser，只应列出你授权的命令 - 测试越权行为：
sudo -n ls /root应拒绝（退出码为 1） - 启用日志：确保
/etc/sudoers中有Defaults logfile="/var/log/sudo.log"，每次调用都会记录时间、用户、命令
