如何：禁止 sudoer 编辑 /etc/sudoers 文件？

Question

如何防止 sudoer 编辑/etc/sudoer文件？

Answer 1

这取决于您为使用 sudo 的人提供了多少访问权限。如果您给予人们足够的特权，使他们能够不受限制地使用 sudo，那么您几乎必须信任他们。

您可以明确拒绝访问 visudo 命令

sudouser ALL=ALL, !/usr/sbin/visudo

然后

$ sudo visudo
[sudo] password for sudouser:
Sorry, user sudouser is not allowed to execute '/usr/sbin/visudo' as root on host1.lan

但是，这并不能阻止人们，例如，运行 shell 然后运行 ​​visudo

sudo -s
visudo

答对了 ！

唯一的其他解决方案是通过 sudo 减少人们的访问范围。为此，您必须分析他们的权限要求，并通过 sudo 授予他们仅通过使用命令别名等真正需要的那些命令的访问权限。