Linux 普通用戶獲取 Root 權限三大姿勢：sudoers 配置詳解與最佳實踐

企業環境不直接提供 root 密碼，運維人員需通過普通賬號臨時提權。本文詳細對比 /etc/sudoers 三種授權方式、wheel 組策略、UID 0 修改法的優劣，給出生產環境推薦配置。

環境基線

OS: Red Hat Enterprise Linux 6
Kernel: 2.6.32-279.el6.x86_64

方式一：直接編輯 /etc/sudoers（推薦）

visudo  # 必須用 visudo 防止語法錯誤導致無法 sudo

# 用戶級授權
xcg     ALL=(ALL) ALL           # 需輸入當前用戶密碼
kongzhong ALL=(ALL) NOPASSWD:ALL # 免密提權（慎用）

# 組級授權（取消註釋）
%wheel  ALL=(ALL) ALL

• 修改前備份：cp /etc/sudoers /etc/sudoers.bak
• 權限臨時放開：chmod 640 /etc/sudoers → 編輯 → chmod 440 /etc/sudoers
• 生效即時，無需重啟。

方式二：wheel 組 + usermod（推薦標準化）

visudo  # 確保 %wheel ALL=(ALL) ALL 未註釋
usermod -G wheel username      # 將用戶加入 wheel 組（注意 -G 追加，-g 替換主組）
id username                    # 驗證組歸屬

• 優點：權限管理集中在組成員維護，符合最小權限原則，易於審計。
• 缺點：需確保 wheel 組不被濫用。

方式三：修改 /etc/passwd 將 UID 改為 0（極度不推薦）

# 原：kongzhong2:x:504:504:... 
# 改：kongzhong2:x:0:500:...
# 直接獲得 root 權限，繞過 sudo 審計，極高風險！

• 破壞用戶識別體系，日志無法區分真實操作者。
• 多用戶 UID 0 導致文件屬主混亂、審計失效、合規違規。
• 企業嚴禁，僅作原理了解。

最佳實踐總結

安全加固建議

• Defaults logfile=/var/log/sudo.log 獨立記錄 sudo 操作。
• Defaults requiretty 強制分配終端，防止腳本濫用。
• Defaults !visiblepw 禁止明文密碼參數。
• 定期 auditctl -w /etc/sudoers -p wa 監控配置變更。

權限最小化、操作可審計、配置可追溯，是 Linux 特權管理的鐵律。