Ubuntu环境下限制普通用户对指定关键服务的sudo操作方案咨询

嘿，你的需求我太懂了——既要让普通用户能正常用sudo管理大部分服务，又要把关键服务牢牢锁死，不让其他人乱操作。下面几个Ubuntu下的实操方案，你可以按需选择：

1. 通过sudoers文件精准限制（最推荐） #

这是最直接且灵活的方式，能精确控制哪些命令普通用户不能执行。一定要用visudo命令编辑sudoers配置，千万别直接用编辑器打开/etc/sudoers——语法错误会导致sudo完全失效，visudo会自动帮你做语法检查。

假设你的关键服务名为critical-service，普通用户都在staff用户组里，你可以在visudo中添加如下规则：

%staff ALL=(ALL) ALL, !/usr/bin/systemctl start critical-service, !/usr/bin/systemctl stop critical-service, !/usr/bin/systemctl restart critical-service, !/usr/bin/systemctl reload critical-service

规则解释：

• %staff：对staff组下的所有用户生效（如果是单个用户，直接换成用户名即可）
• ALL=(ALL) ALL：允许用户执行所有sudo操作
• !/usr/bin/systemctl ...：明确禁止执行这些针对关键服务的启动、停止、重启、重载命令

如果想更严格，还可以禁止用户修改服务的配置文件，比如加上!/usr/bin/vim /etc/systemd/system/critical-service.service这类规则。

2. 加固服务配置文件的权限 #

除了sudo层面的限制，还可以从服务本身的配置文件入手，让普通用户连查看或修改配置的权限都没有。

找到你的关键服务的systemd配置文件（一般在/etc/systemd/system/或/lib/systemd/system/目录下），执行以下命令修改归属和权限：

sudo chown root:your-admin-account /etc/systemd/system/critical-service.service
sudo chmod 640 /etc/systemd/system/critical-service.service

替换your-admin-account为你自己的管理账号，然后重启systemd让配置生效：

sudo systemctl daemon-reload

这样普通用户既看不到服务的配置细节，也没法修改配置文件来绕过sudo限制。

3. 用sudo命令别名简化配置（适合多服务场景） #

如果以后要限制多个关键服务，或者命令列表太长，用sudo的命令别名可以让配置更清晰、更易维护。在visudo中添加：

Cmnd_Alias CRITICAL_SERVICE_CMDS = /usr/bin/systemctl start critical-service, /usr/bin/systemctl stop critical-service, /usr/bin/systemctl restart critical-service, /usr/bin/systemctl reload critical-service
%staff ALL=(ALL) ALL, !CRITICAL_SERVICE_CMDS

以后要调整禁止的命令，只需要修改CRITICAL_SERVICE_CMDS这个别名的内容即可，不用改动后面的用户规则，非常方便。

最后测试一下 #

配置完成后，切换到普通用户账号，尝试执行sudo systemctl restart critical-service，如果收到类似Sorry, user xxx is not allowed to execute '/usr/bin/systemctl restart critical-service' as root on xxx.的提示，说明限制生效了。

备注：内容来源于stack exchange，提问作者Miguel.G