如何在Linux中控制sudo命令的使用范围？

通过配置/etc/sudoers文件并使用visudo命令，可实现对sudo权限的精细化管理：为用户指定可执行命令（如alice仅能重启nginx）、按组分配权限（如ops组运行特定脚本）、禁止危险命令（如禁止bob使用su）、启用日志审计（记录操作行为），遵循最小权限原则，保障系统安全。

在Linux中控制sudo命令的使用范围，核心是通过配置/etc/sudoers文件来实现精细化权限管理。直接编辑该文件不安全，应使用visudo命令，它会在保存时检查语法错误，避免系统权限配置失效。

限制用户可执行的命令

可以通过为特定用户指定允许运行的命令，防止其获得完整的root权限。

例如，在/etc/sudoers中添加：

alice ALL=(ALL) /bin/systemctl restart nginx, /bin/journalctl -u nginx

这表示用户alice只能重启nginx服务和查看其日志，不能执行其他需要sudo的命令。

按组分配sudo权限

将用户加入特定组，并为该组设置sudo规则，便于批量管理。

常见做法是允许sudo组成员执行任意命令：

%sudo ALL=(ALL:ALL) ALL

若要限制该组只能运行特定维护脚本：

%ops ALL=(root) NOPASSWD: /usr/local/bin/backup.sh, /usr/local/bin/cleanup.sh

这样ops组成员无需密码即可运行指定脚本。

禁止运行危险命令

可以显式禁止某些命令，防止滥用。

Git版本控制与工作流 中文WORD版

篇文章是针对git版本控制和工作流的总结，如果有些朋友之前还没使用过git，对git的基本概念和命令不是很熟悉，可以从以下基本教程入手： Git是分布式版本控制系统，与SVN类似的集中化版本控制系统相比，集中化版本控制系统虽然能够令多个团队成员一起协作开发，但有时如果中央服务器宕机的话，谁也无法在宕机期间提交更新和协同开发。甚至有时，中央服务器磁盘故障，恰巧又没有做备份或备份没及时，那就可能有丢失数据的风险。感兴趣的朋友可以过来看看

0

查看详情

例如，阻止某个用户使用su或修改用户账户：

bob ALL=(ALL) ALL, !/usr/bin/su, !/usr/sbin/useradd, !/usr/sbin/usermod

感叹号表示排除，即使在通配符规则后也能生效。

启用日志审计与命令记录

确保sudo操作被记录，有助于追踪和审查。

确认/etc/sudoers中启用了日志：

Defaults logfile="/var/log/sudo.log"

还可记录用户实际执行的命令：

Defaults log_input, log_output

这些日志能帮助管理员分析谁在何时执行了什么操作。

基本上就这些。合理配置sudoers规则，既能满足日常运维需求，又能有效降低权限滥用风险。关键是遵循最小权限原则，只给必要的命令权限。

以上就是如何在Linux中控制sudo命令的使用范围？的详细内容，更多请关注php中文网其它相关文章！