修改/etc/sudoers后用户仍提示密码，如何实现免密执行所有命令？

Question

在Linux系统中，修改`/etc/sudoers`文件后，用户执行sudo命令时仍提示输入密码，如何实现特定用户或组免密执行所有命令？这是常见的权限配置问题。通常，我们在`/etc/sudoers`中添加类似`username ALL=(ALL) NOPASSWD: ALL`的规则来实现免密，但若配置后仍需输入密码，可能是以下原因：1) 文件语法错误，需用`visudo`编辑确保正确性；2) 系统存在其他覆盖规则，如LDAP或PAM配置；3) SELinux或AppArmor限制生效。解决方法：使用`visudo`检查并修正配置，确认规则顺序无误（后置规则优先），同时临时关闭SELinux测试是否为策略限制。最后，确保PAM配置文件中`sudorequiretty`未启用。通过以上步骤，可顺利实现用户免密执行sudo命令。

Answer 1

1. 问题概述

在Linux系统中，修改`/etc/sudoers`文件后，用户执行sudo命令时仍提示输入密码的问题较为常见。通常，我们通过在`/etc/sudoers`中添加类似`username ALL=(ALL) NOPASSWD: ALL`的规则来实现免密操作，但实际应用中可能因多种原因导致配置失效。

以下是可能导致该问题的原因：

• 文件语法错误：直接编辑`/etc/sudoers`可能导致语法错误，需使用`visudo`工具进行安全编辑。
• 规则覆盖：系统中可能存在其他覆盖规则，如LDAP或PAM配置。
• 安全策略限制：SELinux或AppArmor策略可能阻止免密配置生效。

2. 配置检查与修正

为解决上述问题，首先需要确保`/etc/sudoers`文件的正确性。以下步骤可以帮助排查和修正配置：

1. 使用`visudo`工具编辑`/etc/sudoers`文件，避免语法错误。
2. 确认规则顺序无误，后置规则优先级更高。
3. 临时关闭SELinux测试是否为策略限制，命令如下：

setenforce 0

如果关闭SELinux后免密配置生效，则说明SELinux策略是问题根源。

3. PAM配置检查

PAM（Pluggable Authentication Module）配置也可能影响sudo免密功能。以下是检查步骤：

步骤	描述
1	打开PAM配置文件`/etc/pam.d/sudo`。
2	查找`sudorequiretty`选项，确保未启用。
3	如果存在相关限制，注释掉相关行。

4. 流程图分析

以下流程图展示了从问题发现到解决的整体过程：

graph TD;
            A[问题：sudo仍提示密码] --> B{文件语法错误？};
            B -- 是 --> C[使用`visudo`修复];
            B -- 否 --> D{规则被覆盖？};
            D -- 是 --> E[检查LDAP/PAM配置];
            D -- 否 --> F{SELinux/AppArmor限制？};
            F -- 是 --> G[临时关闭SELinux测试];
            F -- 否 --> H[检查PAM配置];

5. 实际案例分析

假设某系统中用户`devuser`无法实现免密sudo操作，已添加如下规则：

devuser ALL=(ALL) NOPASSWD: ALL

经过检查发现，PAM配置文件中存在以下内容：

auth       required   pam_tty_audit.so disable=devuser

这表明`devuser`受到PAM模块限制，需注释掉相关行并重新测试。