应通过 sudoers 精确授权用户以 root 身份运行带参数的只读命令（如 less、tail、grep）访问指定日志文件，禁用 shell 逃逸，限制输出行数，加入 adm 组并收紧日志文件权限，实现安全可控的只读日志查看。

要让普通用户通过 sudo 安全、可控地只读查看系统日志（如 /var/log/auth.log、/var/log/syslog、/var/log/messages 等），核心思路是：**不给用户直接 sudo su 或 sudo cat 全路径的宽泛权限，而是限定其只能以只读方式执行特定命令（如 less、tail、grep）访问明确的日志文件路径。**

明确授权范围：只允许指定命令读取指定日志文件

编辑 sudoers 配置（务必用 sudo visudo）：

• 添加一行规则，例如：

alice ALL=(root) /usr/bin/less /var/log/auth.log, /usr/bin/tail -n 50 /var/log/syslog, /usr/bin/grep --color=never -i "failed\|error" /var/log/messages

• 说明：
  • alice 是用户名；
  • ALL=(root) 表示可在任意主机以 root 身份运行；
  • 后面列出的是**完整、带参数的可执行命令**，sudo 只允许精确匹配这些调用；
  • 使用 --color=never 避免终端控制字符干扰；
  • tail -n 50 限制输出行数，防止单次读取过大日志拖慢系统。

增强安全性：禁用 shell 逃逸与通配符滥用

避免使用模糊写法（如 /bin/cat /var/log/*.log），否则可能被利用绕过限制。正确做法包括：

linux-performance-analyzer

Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。

下载

• 禁止用户启动交互式 shell：
  Defaults:alice !shell_noop（在 visudo 中添加，或确保未启用 env_reset 外的危险 flag）
• 显式拒绝危险命令：
  alice ALL=(root) !/bin/sh, !/bin/bash, !/usr/bin/vi, !/usr/bin/vim, !/bin/su
• 若需支持多日志文件，建议为每类日志单独定义 Cmnd_Alias，再授权，逻辑更清晰、更易审计。

实际使用方式：用户如何操作

配置生效后，用户无需密码（若加了 NOPASSWD:）或输入自己密码即可执行：

• sudo less /var/log/auth.log
• sudo tail -n 20 /var/log/syslog
• sudo grep "sshd" /var/log/auth.log（前提是该 grep 命令已在 sudoers 中白名单）

注意：所有操作均被记录在 /var/log/auth.log 或 /var/log/sudo.log（若已启用详细日志），含用户、时间、具体命令，满足审计要求。

补充建议：配合日志权限最小化

即使 sudo 授权严格，也建议同步收紧原始日志文件权限：

• 确认日志由 syslog 或 rsyslog 服务属主写入，且组为 adm；
• 将目标用户加入 adm 组（sudo usermod -aG adm alice），再配合 sudo 规则，形成双重保障；
• 避免将日志文件设为 world-readable（chmod o-r /var/log/*.log）。