答案是通过/etc/sudoers.d/下以.conf结尾的独立文件，用sudo visudo -f安全编辑，为指定用户或组精准授权绝对路径命令并设nopasswd，严格遵循最小权限原则。

为指定运维用户配置免密 sudo，重点不是“去掉密码”，而是精准授权：只允许该用户在特定条件下、执行明确列出的命令时跳过密码验证。核心原则是“最小权限”，避免用 NOPASSWD: ALL 这类高风险配置。

用 /etc/sudoers.d/ 创建独立配置文件

这是最安全、推荐的生产环境做法，不改动主配置文件，出错也不会锁死整个 sudo 系统。

• 用 sudo visudo -f /etc/sudoers.d/90-deploy-nopasswd.conf 新建并编辑（文件名必须以 .conf 结尾，不能含点或下划线）
• 写入规则，例如允许用户 deploy 免密重启 nginx 和重载配置：
  deploy ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx, /usr/bin/systemctl reload nginx
• 保存退出后立即设置权限：sudo chmod 0440 /etc/sudoers.d/90-deploy-nopasswd.conf

按用户组统一管理（适合团队）

把多个运维人员加入同一组，后续增删成员无需改配置，权限回收也更集中。

Obsidian (Linux)

操作 Obsidian 库（纯 Markdown 笔记），并通过 notesmd-cli 实现自动化。

下载

• 确认用户已在目标组中，例如运行 groups deploy 查看是否含 ops
• 若需新建组并加人：sudo groupadd ops，再 sudo usermod -aG ops deploy
• 在 /etc/sudoers.d/ops-nopasswd.conf 中写：
  %ops ALL=(ALL) NOPASSWD: /usr/bin/systemctl start app, /opt/scripts/backup.sh（注意 % 符号不能漏）

用 Cmnd_Alias 定义命令别名

当免密命令较多或需复用时，用别名让配置清晰、易维护、不易出错。

• 在 /etc/sudoers.d/deploy-alias.conf 中先定义：
  Cmnd_Alias DEPLOY_CMD = /usr/bin/rsync, /usr/bin/systemctl restart app, /opt/bin/deploy.sh
• 再授权：
  deploy ALL=(ALL) NOPASSWD: DEPLOY_CMD
• 所有命令路径必须是绝对路径（可用 which rsync 查），等号和括号前后必须有空格

验证与常见问题检查

配置完别直接跑任务，先做三步验证：

• 语法检查：sudo visudo -c（会扫描主文件 + 整个 /etc/sudoers.d/ 目录）
• 查看授权列表：sudo -l -U deploy（确认显示的命令与预期一致）
• 清除缓存再测试：sudo -k，然后 sudo systemctl restart nginx
• 若提示 parse error，优先查文件权限（是否为 0440）、文件名（是否含非法字符）、空格是否缺失