在 CentOS 系统管理中，创建新用户并赋予其 sudo 权限是一项基础且至关重要的操作，直接使用 root 账户进行日常操作存在巨大的安全风险，一旦误操作可能导致系统崩溃或安全漏洞，遵循最小权限原则，为普通用户配置按需提升权限的 sudo，是每一位系统管理员必须掌握的技能，本文将详细、清晰地介绍在 CentOS 系统中添加用户并配置 sudo 权限的完整流程，涵盖从创建用户到验证权限的每一个环节，并探讨一些最佳实践和高级用法。
第一步：创建一个新的系统用户
在赋予 sudo 权限之前，我们首先需要一个普通用户账户，CentOS 提供了 useradd 命令来完成这项工作，为了确保新用户拥有完整的 home 目录和标准的 shell 环境，我们推荐使用以下命令组合。
打开终端,以 root 或已有 sudo 权限的用户身份执行以下命令，这里我们以创建一个名为 developer 的新用户为例：
sudo useradd -m -s /bin/bash developer
让我们来解析这个命令的各个部分：
sudo：以超级用户权限执行命令，如果您当前就是root用户，则无需此前缀。useradd：用于创建新用户的系统命令。-m：这是一个非常重要的选项，它告诉系统自动为新用户创建一个主目录，通常位于/home/developer，如果没有这个选项，用户将没有主目录，登录时可能会遇到问题。-s /bin/bash：此选项指定了用户的默认登录 shell。/bin/bash是最常用且功能强大的 shell 之一，确保用户有一个熟悉的命令行环境。
用户创建后,还需要为其设置一个密码，使用 passwd 命令来完成：
sudo passwd developer
执行后,系统会提示您输入两次新密码以进行确认，设置成功后，developer 账户就具备了登录系统的基本条件。
第二步：将用户添加到 wheel 组以授予 Sudo 权限
在 CentOS（以及基于 Red Hat 的其他发行版）中，管理 sudo 权限最优雅、最推荐的方式是利用 wheel 用户组。wheel 组是一个历史悠久的管理员组，属于该组的用户默认被允许使用 sudo 命令。
我们需要确认 /etc/sudoers 文件中是否已经启用了 wheel 组的配置，使用 visudo 命令安全地查看和编辑该文件：
sudo visudo
visudo 会打开一个文本编辑器（通常是 vi 或 nano），并在保存时自动检查语法，防止因配置错误导致 sudo 功能瘫痪，在文件中，找到下面这一行：
%wheel ALL=(ALL) ALL确保这一行没有被 号注释掉，如果被注释了，请删除行首的 并保存文件，这行配置的含义是：允许 wheel 组中的任何用户，从任何终端（ALL），以任何用户身份（(ALL)），执行任何命令（ALL）。
配置确认无误后,我们只需将新创建的用户 developer 添加到 wheel 组中即可，使用 usermod 命令：
sudo usermod -aG wheel developer
解析此命令：
usermod：用于修改用户账户属性的命令。-aG wheel：这是关键选项组合。-a代表append（追加），表示将用户添加到指定的补充组中，而不是替换用户现有的所有组。-G wheel则指定了要添加的组是wheel。切记要使用-a，否则用户将被从其他组（如它默认所属的用户组）中移除。
至此,用户 developer 已经成功获得了 sudo 权限。
第三步：验证 Sudo 权限配置
为了确保我们的配置生效,最好的方法就是进行实际测试，我们需要切换到新用户的身份：
su - developer
su - 命令会完全模拟 developer 用户的登录环境，包括加载其配置文件和环境变量，您的终端提示符应该已经变成了 developer 用户的样式。
尝试执行一个需要 root 权限的命令，例如查看 /root 目录的内容：
sudo ls /root
第一次使用 sudo 时，系统会显示一段警告信息，并要求您输入 当前用户（即 developer）的密码，而不是 root 用户的密码，这是 sudo 的一项安全特性。
输入正确密码后,如果命令成功执行并列出了 /root 目录下的文件，那么恭喜您，sudo 权限配置完全成功！为了进一步验证，可以使用 whoami 命令：
sudo whoami
如果系统返回 root，则无可辩驳地证明了 developer 用户可以通过 sudo 成功提升至 root 权限。
核心命令速查表
为了方便快速查阅,下表小编总结了本文涉及的核心命令：
| 任务 | 命令 | 说明 |
|---|---|---|
| 创建新用户 | sudo useradd -m -s /bin/bash username | 创建用户并建立 home 目录，指定 bash 为 shell |
| 设置用户密码 | sudo passwd username | 为指定用户设置登录密码 |
| 授予 Sudo 权限 | sudo usermod -aG wheel username | 将用户追加到 wheel 组，从而获得 sudo 权限 |
| 验证权限 | su - username sudo whoami | 切换用户并执行 sudo 命令进行测试 |
相关问答 (FAQs)
我直接编辑了 /etc/sudoers 文件，现在所有 sudo 命令都报错，提示语法错误，该怎么办？
解答： 这是一个非常危险且常见的错误，直接编辑 /etc/sudoers 而不使用 visudo，一旦语法有误，就会导致 sudo 功能完全瘫痪，解决方法如下：
- 重启系统进入救援模式或单用户模式。 在 GRUB 引导菜单中，按
e编辑启动选项，在linux或linux16行末尾添加rd.break或single，然后按Ctrl+X启动。 - 重新挂载根文件系统为可写模式。 进入救援模式后，根文件系统通常是只读的，执行
mount -o remount,rw /sysroot。 - 切换到原系统环境。 执行
chroot /sysroot。 - 备份并修复文件。 使用
cp /etc/sudoers /etc/sudoers.bak备份当前错误的文件，使用visudo命令编辑/etc/sudoers文件，它会帮您检查并定位语法错误，修复后保存退出。 - 重启系统。 执行
exit退出chroot环境，然后再次exit或reboot重启，系统即可恢复正常。
为什么推荐将用户添加到 wheel 组，而不是直接在 /etc/sudoers 文件里为每个用户单独添加一行配置？
解答： 这主要出于管理和维护的便利性以及安全性考虑。
- 可维护性： 使用
wheel组进行管理是一种基于组的策略，当需要撤销某人的管理员权限时，只需将其从wheel组中移除即可（sudo gpasswd -d username wheel），如果为每个用户单独配置，则需要手动编辑/etc/sudoers文件删除对应行，更容易出错，当需要管理大量管理员时，组策略的优势尤为明显。 - 清晰性与一致性： 所有拥有
sudo权限的用户都集中在wheel组中，一目了然，这使得权限审计和管理变得更加简单和规范。 - 安全性：
visudo编辑/etc/sudoers文件时提供了语法检查，但频繁手动编辑仍然增加了出错的风险，通过usermod命令管理组成员关系，是更安全、更原子化的操作，不易引发系统性问题，除非需要为某个用户配置非常特殊、精细的权限（例如只能执行特定命令），否则使用wheel组是最佳实践。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
发表回复