将用户添加到 sudoer 组的最佳方法是什么？

Question

到目前为止，我发现了四种不同的方法来将用户添加到 sudoers 组，并不是所有方法都适用于所有系统。为什么有这么多不同的实现？哪个最好？标准是什么（即在大多数系统中工作）？

不同的实现：

1. 将用户添加到“wheel”组。
2. 将用户添加到“sudo”组。
3. 编辑文件 /etc/sudoers
4. 使用 visudo 编辑文件 /etc/sudoers

Answer 1

有两种（主要）方法可以授权用户通过 sudo 以 root 身份运行命令：

• 声明“Alice 可以以 root 身份运行命令”；
• 声明“Alice 是系统管理员”并且“系统管理员可以以 root 身份运行命令”。

声明“Alice 是系统管理员”的方法是让她成为 sysadmins 组的成员，但 sysadmins 组没有标准名称（也没有任何义务必须有一个 sysadmins 组）。一些传统的 Unix 系统有一个名为 的组wheel，但通常在轮组中只是成为 root 的先决条件，并且用户还必须知道 root 密码并运行su（尤其是 BSD 使用它的方式）。某些发行版，例如 Ubuntu 和 Debian，在其默认配置中包含一个名为sudo“组的成员sudo可以以 root 身份运行命令”的组和规则。

如果/etc/sudoers（或 中的文件/etc/sudoers.d）包含类似 的行%sudo ALL=(ALL:ALL) ALL，那么您可以通过将用户添加到sudo组 ( adduser alice sudo)来使用户成为 sudoer 。这个名字sudo并不神奇，你只需要匹配/etc/sudoers.

永远不要直接编辑/etc/sudoers（或 下的文件/etc/sudoers.d）：如果你犯了一个语法错误，你会锁定自己的 root 访问权限。始终用于visudo编辑该文件。要选择visudo运行的编辑器，请设置VISUAL环境变量（或者EDITOR，只要VISUAL未设置）。在多用户机器上，使用visudo有额外的好处，它可以在两个管理员同时编辑文件时处理锁定。