sudo-lockout

把自己锁在 sudo 外的恢复方法

现象

sudo 报 sudoers file syntax error、no valid sudoers sources found、user is not in the sudoers file，所有管理操作都无法执行。常见于手改 sudoers、改权限或移除 sudo 组。

快速定位

id
sudo -l
visudo -c
ls -l /etc/sudoers /etc/sudoers.d/
getent hosts "$(hostname)"
journalctl -t sudo --since '10 min ago'

常见根因

1. /etc/sudoers 或 /etc/sudoers.d/ 语法错误。
2. sudoers 文件权限/属主不对（应为 0440 root:root）。
3. 用户被移出 sudo/wheel 组。
4. 主机名无法解析，sudo 拒绝执行。
5. PAM 配置或认证插件异常。

修复

• 有 root 密码/控制台：直接 su -，用 visudo 修复。
• 云主机用串口/VNC/救援模式进入单用户或 recovery。
• 单用户模式下重新挂载根分区为可写，再修 sudoers。
• 修正权限：chmod 440 /etc/sudoers，chown root:root。
• 把用户加回 sudo/wheel 组，重新登录生效。
• 修 /etc/hosts 的主机名映射。
• 修复后立即验证 sudo -l，保留一个可用的 root 通道。

相关命令

• sudo / visudo — 提权与配置
• su — 切换 root
• chmod / chown — 权限
• getent — 主机名解析