Linux系统中配置sudo免密码的方法与安全实践

# sudo执行流程：
# 1. 检查用户是否有sudo权限（/etc/sudoers）
# 2. 验证用户密码（默认行为）
# 3. 记录时间戳（默认15分钟内免重复验证）
# 4. 执行命令并记录日志

# 查看sudoers文件语法
sudo visudo

# sudoers文件典型结构：
# User_Alias     用户别名
# Runas_Alias    运行身份别名
# Host_Alias     主机别名
# Cmnd_Alias     命令别名
# 用户/组    主机=(身份)    命令

# 永远不要直接编辑/etc/sudoers，使用visudo！
# visudo会进行语法检查，避免错误配置导致sudo不可用
sudo visudo

# 用户zhangsan在所有主机上可以无密码执行所有命令
zhangsan ALL=(ALL) NOPASSWD:ALL

# 用户lisi只能在特定主机上无密码执行特定命令
lisi 192.168.1.100=(ALL) NOPASSWD:/usr/bin/apt,/usr/bin/systemctl

# developers组的所有成员可以无密码执行所有命令
%developers ALL=(ALL) NOPASSWD:ALL

# docker组可以无密码执行docker相关命令
%docker ALL=(ALL) NOPASSWD:/usr/bin/docker,/usr/bin/docker-compose

# 允许无密码执行特定命令，其他命令仍需密码
wangwu ALL=(ALL) NOPASSWD:/sbin/shutdown,/sbin/reboot
wangwu ALL=(ALL) ALL  # 其他命令需要密码

# 1. 创建独立的配置文件
sudo visudo -f /etc/sudoers.d/90-nopasswd-users

# 2. 添加配置内容
# 用户zhangsan免密码
zhangsan ALL=(ALL) NOPASSWD:ALL

# 3. 设置正确的权限（非常重要！）
sudo chmod 440 /etc/sudoers.d/90-nopasswd-users
sudo chown root:root /etc/sudoers.d/90-nopasswd-users

# 4. 验证配置
sudo visudo -c /etc/sudoers.d/90-nopasswd-users

# 编辑sudoers文件
sudo visudo

# 设置密码缓存时间（默认15分钟）
Defaults    env_reset,timestamp_timeout=30  # 30分钟
Defaults    env_reset,timestamp_timeout=-1  # 永远不超时（危险！）
Defaults    env_reset,timestamp_timeout=0   # 每次都要求密码

# /etc/sudoers.d/10-developers
# 开发团队配置

# 开发组可以无密码执行开发工具
%dev-team ALL=(ALL) NOPASSWD:/usr/bin/git, /usr/bin/docker, /usr/bin/make

# 可以重启开发服务
%dev-team ALL=(ALL) NOPASSWD:/bin/systemctl restart nginx, \
                              /bin/systemctl restart mysql

# 其他操作需要密码
%dev-team ALL=(ALL) ALL

# /etc/sudoers.d/20-backup-scripts
# 备份脚本专用账户

# 备份用户可以无密码执行备份相关命令
backup-user ALL=(ALL) NOPASSWD:/usr/bin/rsync, /bin/tar, /sbin/lvcreate
backup-user ALL=(ALL) NOPASSWD:/usr/bin/scp

# /etc/sudoers.d/30-docker-users
# Docker用户组配置

# docker组可以无密码执行docker命令
%docker ALL=(ALL) NOPASSWD:/usr/bin/docker, /usr/bin/docker-compose

# 注意：更安全的方式是将用户加入docker组
# sudo usermod -aG docker username

# 错误示例：权限过大
user ALL=(ALL) NOPASSWD:ALL

# 正确示例：仅授予必要权限
user ALL=(ALL) NOPASSWD:/usr/bin/apt update, /usr/bin/systemctl restart nginx

# 定义命令别名
Cmnd_Alias WEB_COMMANDS = /usr/bin/systemctl restart nginx, \
                          /usr/bin/systemctl reload nginx
Cmnd_Alias UPDATE_CMDS = /usr/bin/apt update, /usr/bin/apt upgrade -y

# 应用别名
webadmin ALL=(ALL) NOPASSWD: WEB_COMMANDS, UPDATE_CMDS

# 查看sudo使用日志
sudo grep sudo /var/log/auth.log
# 或
sudo journalctl _COMM=sudo

# 定期检查sudoers配置
sudo visudo -c

# 在/etc/sudoers中添加
Defaults logfile="/var/log/sudo.log"
Defaults log_input, log_output
Defaults iolog_dir="/var/log/sudo-io/%{user}"

# 解决方法：使用root用户或单用户模式修复
# 1. 切换到单用户模式
# 2. 重新挂载根目录为可写
mount -o remount,rw /

# 3. 修复sudoers文件
visudo
# 或删除错误配置
rm /etc/sudoers.d/bad-config

# 检查语法
sudo visudo -c

# 测试配置
sudo -l  # 查看当前用户的sudo权限

# 检查加载顺序
# sudoers.d目录文件按数字顺序加载，后加载的会覆盖前面的

# 检查文件权限（必须为440）
ls -l /etc/sudoers.d/

# 检查include指令
# 确保/etc/sudoers中有：
# @includedir /etc/sudoers.d

# 对于远程自动化，考虑使用SSH密钥
ssh-keygen -t rsa -b 4096
ssh-copy-id user@remote-host

# 创建Polkit规则
sudo nano /etc/polkit-1/rules.d/10-nopasswd.rules

# 内容示例：
polkit.addRule(function(action, subject) {
    if (subject.user == "username" &&
        action.id == "org.freedesktop.systemd1.manage-units") {
        return polkit.Result.YES;
    }
});

# Ansible playbook示例
- name: Configure sudo without password
  hosts: all
  tasks:
    - name: Create sudoers.d file
      copy:
        dest: /etc/sudoers.d/90-nopasswd
        content: |
          {{ sudo_user }} ALL=(ALL) NOPASSWD:ALL
        validate: /usr/sbin/visudo -cf %s
        owner: root
        group: root
        mode: '0440'

# 查看当前用户的sudo权限
sudo -l

# 以root身份执行命令（需要密码）
sudo command

# 编辑sudoers文件（安全方式）
sudo visudo

# 检查sudoers语法
sudo visudo -c

# 查看sudo日志
sudo grep sudo /var/log/auth.log

# 清除sudo时间戳缓存
sudo -k