Ubuntu下脚本执行newaliases遇权限拒绝的技术问询

在Ubuntu系统中，更新/etc/aliases文件后，需要运行newaliases命令生成/etc/aliases.db别名数据库。单独执行sudo newaliases可以成功，但通过sudo myscript.sh启动脚本时，脚本内执行该命令会报错：

postalias: fatal: open /etc/aliases.db: Permission denied

脚本内执行whoami显示当前用户为root，且其他需要root权限的命令（如写入/etc/aliases）均可正常运行，仅newaliases命令出现权限问题。

• 验证/etc/aliases和/etc/aliases.db权限均为755，属主属组为root:root
• 将myscript.sh权限改为755 root:root
• 将myscript.sh权限改为4755 root:root
• 替换newaliases为postalias /etc/aliases或sendmail -bi
• 更新sudoers配置，允许无密码执行myscript.sh和newaliases
• 配置sudoers允许用户无密码执行所有命令
• 在脚本内使用sudo newaliases
• 在脚本内使用sudo bash -c "newaliases"

以上尝试均失败，报错信息一致。

1. 排查AppArmor限制 #

Ubuntu默认启用AppArmor安全模块，可能是它限制了postalias（newaliases的实际执行程序）在脚本上下文下访问/etc/aliases.db：

• 查看postalias的AppArmor状态：

  sudo aa-status | grep postalias
  

  如果输出显示为enforce状态，说明存在规则限制。
• 临时切换到投诉模式测试：

  sudo aa-complain /usr/sbin/postalias
  

  重新运行脚本，若命令成功执行，即可确认是AppArmor的问题。
• 永久调整规则：
  编辑/etc/apparmor.d/usr.sbin.postalias文件，确保包含以下规则：

  /etc/aliases.db rw,
  

  保存后重新加载AppArmor：

  sudo systemctl reload apparmor
  

2. 显式指定Postfix配置路径 #

部分情况下，脚本的环境变量被sudo重置，导致postalias无法找到正确的配置文件，可在脚本内显式指定：

postalias -c /etc/postfix /etc/aliases

3. 检查脚本内的umask设置 #

如果脚本中设置了严格的umask（如umask 0077），可能影响文件访问权限，可在执行newaliases前重置umask：

umask 022
newaliases

newaliases是指向../sbin/sendmail的软链接，这是Postfix为兼容Sendmail命令接口设计的机制：

• 当你运行newaliases时，Postfix的sendmail兼容程序会识别这个调用名称，自动执行-bi参数对应的功能——即更新别名数据库。
• 直接运行sendmail不带参数时，它默认作为邮件发送程序运行，不会处理别名更新逻辑；只有加上-bi参数，才会触发与newaliases完全相同的别名数据库更新操作。

内容的提问来源于stack exchange，提问作者user27173209