最稳妥常用方式是sudo，不改身份只借权限，用完即退、全程可审计；通过visudo配置授权，记录于/var/log/auth.log，符合等保与iso27001溯源要求。
临时提升普通用户为超级管理员权限，核心是“不改身份、只借权限”，用完即退，全程可审计。最稳妥、最常用的方式就是 sudo，不是 su，也不是改 UID 或 passwd 文件。
用 sudo -i 或 sudo -s 切换到 root 环境
这是最接近“临时变成 root”的操作，但本质仍是当前用户执行命令，系统全程记录是谁干的。
- sudo -i：加载完整的 root 用户环境（包括 PATH、HOME、.bashrc 等），适合连续执行多条管理命令。输入的是你自己的密码，不是 root 密码。
-
sudo -s：复用当前用户的环境变量（比如还在你自己的家目录里），适合快速执行一两条命令，比如
sudo -s && systemctl restart nginx。 - 成功后提示符会变成
root@xxx:~#，执行完记得输exit退回原用户，不要一直挂着 root shell。
对单条命令加 sudo，最小化提权范围
比切换整个 shell 更安全——只给某一条命令 root 权限，其他操作仍保持普通用户权限，降低误操作风险。
- 例如：
sudo apt update、sudo chown -R myuser:myuser /opt/app、sudo journalctl -u docker。 - 系统会检查
/etc/sudoers，确认你是否被授权执行该命令；若配置了NOPASSWD，就不用输密码。 - 所有 sudo 操作默认记入
/var/log/auth.log（或journalctl -u sudo），能查到谁、什么时候、执行了什么。
确保用户已在 sudoers 白名单中
sudo 不是开箱即用的，必须先由 root 配置授权。别直接编辑 /etc/sudoers，要用 visudo：
- 运行
sudo visudo（只有 root 能执行）； - 常见安全写法：
%wheel ALL=(ALL) ALL—— 允许 wheel 组所有成员执行任意命令；然后把用户加进组：sudo usermod -aG wheel username； - 更精细的写法：
username ALL=(ALL) /usr/bin/systemctl, /bin/journalctl—— 只允许该用户用 sudo 执行指定命令。
不推荐的“临时”方式（实际是永久隐患）
有些教程教改 /etc/passwd 把 UID 改成 0，或用 su - 输 root 密码——这些做法绕过了审计、混淆操作归属、破坏最小权限原则。
- 改 UID=0 后，该用户永远是 root，所有操作日志都显示为 root，无法追溯真实责任人；
-
su -需要 root 密码，一旦泄露或多人共用，密码更新、离职回收都成运维噩梦； - 生产环境和合规要求（如等保、ISO27001）明确要求操作可溯源，sudo 是唯一满足条件的主流方案。
