Debian：如何安全地將使用者加入 sudoers 目錄

在 Debian 系統中，賦予現有使用者完整管理員權限最簡單、最安全的方法通常是將該帳戶新增至 sudosudo群組。 Debian 的預設 sudo 配置允許該群組的成員透過 sudo 運行命令sudo。通常情況下，您無需直接編輯 sudo檔案/etc/sudoers。

如果在 Debian 安裝過程中將 root 密碼留空，安裝程式通常會停用 root 使用者直接登錄，並透過 sudo 為第一個普通使用者授予管理權限。如果設定了 root 密碼，則可能無法安裝 sudo，或者您的使用者可能不屬於該sudo群組。 Debian 在其sudo 指南中對這兩種設定都有詳細說明。

檢查您的使用者是否已擁有 sudo 權限

打開終端並查看分配給您帳戶的群組：

groups

如果sudo輸出中出現該內容，請測試配置：

sudo whoami

輸入密碼後，正常的安裝程式應該會輸出訊息root。如果 shell 顯示“sudo: command not found安裝失敗”，請以 root 使用者身分安裝軟體包。如果提示您的使用者無權執行 sudo，請將該帳戶新增至 sudosudo使用者群組。

1. 如果需要，請取得 root 權限並安裝 sudo。

如果您知道 root 密碼，請啟動 root 登入 shell：

su --login

然後使用 APT 安裝 sudo：

apt update
apt install sudo

Debian參考手冊將 sudo 描述為無需始終在 root shell 中工作即可委派管理權限的標準工具。

2. 將使用者加入 Debian 的 sudo 群組

仍然以 root 使用者身份，將替換alice為應該獲得 sudo 權限的帳戶：

adduser alice sudo

您也可以使用usermod -aG sudo alice，但 Debian 特有的adduser USER GROUP形式很簡單，可以避免意外替換使用者的其他補充群組。

3. 登出，重新登錄，並驗證存取權限

新的群組成員身分通常不會套用於已開啟的登入工作階段。請完全登出桌面或 SSH 會話，然後重新登入。之後檢查帳戶並測試 sudo 命令：

groups alice
sudo whoami

如果用戶剛剛被添加，但 sudo 仍然報告該帳戶無權運行命令，這通常是由於舊的登入工作階段造成的。 Debian 的 sudo 文件明確指出，群組成員資格會在登入時生效。

可選：建立每個使用者的 sudoers 規則

對於大多數 Debian 系統，上述組別方法就足夠了。如果您需要單獨設定 sudo 策略，則可以使用使用者層級規則。請勿/etc/sudoers使用普通編輯器開啟該文件。 visudo手冊解釋說，visudovisudo會鎖定文件並在應用更改之前檢查其語法。

以 root 使用者身份，建立一個名稱簡潔（不包含句點）的專用檔案：

visudo -f /etc/sudoers.d/alice

若要賦予alice其與典型 sudo 使用者相同的完整管理權限，請新增：

alice ALL=(ALL:ALL) ALL

儲存並退出編輯器，然後驗證完整的 sudoers 配置：

visudo -c

Debian 建議將本機自訂規則保存在 `sudoers`檔案中，/etc/sudoers.d而不是修改主檔案。 `sudoers`手冊也指出，此目錄中名稱包含句點或以 `.` 結尾的檔案~會被跳過，因此像 `.` 這樣的名稱alice比 `.` 更安全alice.conf。

如何移除 sudo 存取權限

若要撤銷透過該群組授予的存取權限sudo，請以 root 使用者身分執行下列命令：

deluser alice sudo

Debian 的deluser 手冊確認，雙參數形式的指令會將使用者從特定群組中移除。請讓使用者登出並重新登錄，以使新的群組清單生效。

如果您也建立了其他規則/etc/sudoers.d/alice，僅從群組中移除帳戶是不夠的，因為該單獨規則仍然授予權限。請以 root 使用者移除或編輯該規則，然後visudo -c再次執行命令。

避免的常見錯誤

• 請勿/etc/sudoers使用普通文字編輯器編輯。語法錯誤可能會導致無法使用 sudo 權限。
• 請勿usermod -G sudo USER省略-a。該形式可以替換用戶的補充組列表，而不僅僅是添加 sudo。
• 不要NOPASSWD隨意啟用。完全免密碼的 sudo 權限會增加使用者帳號被盜用的風險。
• 請記得需要重新登入。新增或刪除群組不會追溯更改現有會話的憑證。

因此，對於標準的 Debian 工作站或伺服器，建議的路徑很簡單：如有必要，安裝 sudo，將帳戶新增至群組sudo，啟動新的登入會話，並在關閉 root shell 之前驗證結果。