SSH免密登录root配置后sudo -i仍需密码的问题排查

1. 明确无关配置 #

你设置的PermitRootLogin without-password仅控制root用户通过SSH密钥登录，和普通用户sudo -i免密完全无关，该配置无需调整。

2. 排查sudoers配置优先级问题 #

sudoers规则遵循从上到下匹配、后出现的规则覆盖先出现同级别规则的逻辑。如果some_user属于sudo或admin组，而组规则（%sudo ALL=(ALL:ALL) ALL、%admin ALL=(ALL) ALL）在用户个人规则之后，那么组的“需密码”规则会覆盖用户的“免密”规则，导致sudo -i仍要求输入密码。

解决方法：

• 必须用visudo打开sudoers文件（避免语法错误导致配置失效）：

  visudo
  

• 将用户免密规则移动到所有组规则的末尾，确保优先级最高，修改后示例如下：

  # User privilege specification
  root    ALL=(ALL:ALL) ALL
  
  # Members of the admin group may gain root privileges
  %admin ALL=(ALL) ALL
  
  # Allow members of group sudo to execute any command
  %sudo   ALL=(ALL:ALL) ALL
  
  # 用户免密规则放在最后，确保优先级
  some_user ALL=(ALL:ALL) NOPASSWD:ALL
  

3. 检查sudoers语法错误 #

若直接编辑sudoers文件而非使用visudo，极易出现语法错误，导致整个sudoers配置被忽略。执行以下命令验证语法：

visudo -c

输出/etc/sudoers: parsed OK则说明语法正常，否则根据提示修复错误。

4. 验证用户组归属 #

确认some_user是否属于需要密码的组：

groups some_user

若输出包含sudo或admin，必须保证用户个人免密规则在组规则之后；若无需用户属于这些组，可执行gpasswd -d some_user sudo移除用户所在组。

5. 测试与日志排查 #

修改完成后无需重启系统，重新登录some_user账户执行sudo -i测试。若仍有问题，查看sudo日志定位原因：

• Debian/Ubuntu系统：

  tail -f /var/log/auth.log
  

• RHEL/CentOS系统：

  tail -f /var/log/secure
  

日志会明确显示sudo拒绝免密的具体原因，比如规则匹配失败、用户权限不符等。

内容的提问来源于stack exchange，提问作者Ilian Gion Häsler