6.3.1.1 Sudo 权限配置

文档摘要

6.3.1.1 Sudo 权限配置 “别让 sudoers 文件成为你的权限后门”——一个被忽略的 NOPASSWD 配置陷阱与原子化白名单实践凌晨两点十七分，生产环境告警钉钉群炸了。数据库连接池耗尽，Prometheus 显示连接数飙升至 1024，而上游服务日志里反复出现一行刺眼的错误：这不是一次普通的超时故障。这是某位运维同事在两小时前紧急上线的自动化脚本触发的连锁雪崩——脚本试图以非交互方式执行，却因配置中一句看似无害的，悄然绕过了所有审计路径，最终在无人值守的夜班时段，将一条本该只允许重启 pgbouncer 的命令，放大为任意命令执行能力，并被脚本中一处未校验的环境变量拼接漏洞利用，间接导致被静默调用。我们花了 47 分钟定位问题。