# sudo執(zhí)行流程：
# 1. 檢查用戶是否有sudo權(quán)限（/etc/sudoers）
# 2. 驗證用戶密碼（默認行為）
# 3. 記錄時間戳（默認15分鐘內(nèi)免重復驗證）
# 4. 執(zhí)行命令并記錄日志

# 查看sudoers文件語法
sudo visudo

# sudoers文件典型結(jié)構(gòu)：
# User_Alias     用戶別名
# Runas_Alias    運行身份別名
# Host_Alias     主機別名
# Cmnd_Alias     命令別名
# 用戶/組    主機=(身份)    命令

# 永遠不要直接編輯/etc/sudoers，使用visudo！
# visudo會進行語法檢查，避免錯誤配置導致sudo不可用
sudo visudo

# 用戶zhangsan在所有主機上可以無密碼執(zhí)行所有命令
zhangsan ALL=(ALL) NOPASSWD:ALL

# 用戶lisi只能在特定主機上無密碼執(zhí)行特定命令
lisi 192.168.1.100=(ALL) NOPASSWD:/usr/bin/apt,/usr/bin/systemctl

# developers組的所有成員可以無密碼執(zhí)行所有命令
%developers ALL=(ALL) NOPASSWD:ALL

# docker組可以無密碼執(zhí)行docker相關命令
%docker ALL=(ALL) NOPASSWD:/usr/bin/docker,/usr/bin/docker-compose

# 允許無密碼執(zhí)行特定命令，其他命令仍需密碼
wangwu ALL=(ALL) NOPASSWD:/sbin/shutdown,/sbin/reboot
wangwu ALL=(ALL) ALL  # 其他命令需要密碼

# 1. 創(chuàng)建獨立的配置文件
sudo visudo -f /etc/sudoers.d/90-nopasswd-users

# 2. 添加配置內(nèi)容
# 用戶zhangsan免密碼
zhangsan ALL=(ALL) NOPASSWD:ALL

# 3. 設置正確的權(quán)限（非常重要！）
sudo chmod 440 /etc/sudoers.d/90-nopasswd-users
sudo chown root:root /etc/sudoers.d/90-nopasswd-users

# 4. 驗證配置
sudo visudo -c /etc/sudoers.d/90-nopasswd-users

# 編輯sudoers文件
sudo visudo

# 設置密碼緩存時間（默認15分鐘）
Defaults    env_reset,timestamp_timeout=30  # 30分鐘
Defaults    env_reset,timestamp_timeout=-1  # 永遠不超時（危險?。?
Defaults    env_reset,timestamp_timeout=0   # 每次都要求密碼

# /etc/sudoers.d/10-developers
# 開發(fā)團隊配置

# 開發(fā)組可以無密碼執(zhí)行開發(fā)工具
%dev-team ALL=(ALL) NOPASSWD:/usr/bin/git, /usr/bin/docker, /usr/bin/make

# 可以重啟開發(fā)服務
%dev-team ALL=(ALL) NOPASSWD:/bin/systemctl restart nginx, \
                              /bin/systemctl restart mysql

# 其他操作需要密碼
%dev-team ALL=(ALL) ALL

# /etc/sudoers.d/20-backup-scripts
# 備份腳本專用賬戶

# 備份用戶可以無密碼執(zhí)行備份相關命令
backup-user ALL=(ALL) NOPASSWD:/usr/bin/rsync, /bin/tar, /sbin/lvcreate
backup-user ALL=(ALL) NOPASSWD:/usr/bin/scp

# /etc/sudoers.d/30-docker-users
# Docker用戶組配置

# docker組可以無密碼執(zhí)行docker命令
%docker ALL=(ALL) NOPASSWD:/usr/bin/docker, /usr/bin/docker-compose

# 注意：更安全的方式是將用戶加入docker組
# sudo usermod -aG docker username

# 錯誤示例：權(quán)限過大
user ALL=(ALL) NOPASSWD:ALL

# 正確示例：僅授予必要權(quán)限
user ALL=(ALL) NOPASSWD:/usr/bin/apt update, /usr/bin/systemctl restart nginx

# 定義命令別名
Cmnd_Alias WEB_COMMANDS = /usr/bin/systemctl restart nginx, \
                          /usr/bin/systemctl reload nginx
Cmnd_Alias UPDATE_CMDS = /usr/bin/apt update, /usr/bin/apt upgrade -y

# 應用別名
webadmin ALL=(ALL) NOPASSWD: WEB_COMMANDS, UPDATE_CMDS

# 查看sudo使用日志
sudo grep sudo /var/log/auth.log
# 或
sudo journalctl _COMM=sudo

# 定期檢查sudoers配置
sudo visudo -c

# 在/etc/sudoers中添加
Defaults logfile="/var/log/sudo.log"
Defaults log_input, log_output
Defaults iolog_dir="/var/log/sudo-io/%{user}"

# 解決方法：使用root用戶或單用戶模式修復
# 1. 切換到單用戶模式
# 2. 重新掛載根目錄為可寫
mount -o remount,rw /

# 3. 修復sudoers文件
visudo
# 或刪除錯誤配置
rm /etc/sudoers.d/bad-config

# 檢查語法
sudo visudo -c

# 測試配置
sudo -l  # 查看當前用戶的sudo權(quán)限

# 檢查加載順序
# sudoers.d目錄文件按數(shù)字順序加載，后加載的會覆蓋前面的

# 檢查文件權(quán)限（必須為440）
ls -l /etc/sudoers.d/

# 檢查include指令
# 確保/etc/sudoers中有：
# @includedir /etc/sudoers.d

# 對于遠程自動化，考慮使用SSH密鑰
ssh-keygen -t rsa -b 4096
ssh-copy-id user@remote-host

# 創(chuàng)建Polkit規(guī)則
sudo nano /etc/polkit-1/rules.d/10-nopasswd.rules

# 內(nèi)容示例：
polkit.addRule(function(action, subject) {
    if (subject.user == "username" &&
        action.id == "org.freedesktop.systemd1.manage-units") {
        return polkit.Result.YES;
    }
});

# Ansible playbook示例
- name: Configure sudo without password
  hosts: all
  tasks:
    - name: Create sudoers.d file
      copy:
        dest: /etc/sudoers.d/90-nopasswd
        content: |
          {{ sudo_user }} ALL=(ALL) NOPASSWD:ALL
        validate: /usr/sbin/visudo -cf %s
        owner: root
        group: root
        mode: '0440'

# 查看當前用戶的sudo權(quán)限
sudo -l

# 以root身份執(zhí)行命令（需要密碼）
sudo command

# 編輯sudoers文件（安全方式）
sudo visudo

# 檢查sudoers語法
sudo visudo -c

# 查看sudo日志
sudo grep sudo /var/log/auth.log

# 清除sudo時間戳緩存
sudo -k