在Ubuntu系统中，要实现sudo执行所有命令的完整日志记录，核心操作是修改/etc/sudoers文件，将Defaults env_reset改为Defaults log_output，同时配置logfile路径指向一个固定文件。这样每一次通过sudo执行的命令，包括命令本身、执行用户、时间戳、目标主机等信息，都会被完整写入日志文件，方便后续审计和安全排查。

很多运维人员和安全工程师在管理Ubuntu服务器时，只知道sudo命令本身会记录到/var/log/auth.log，但那种记录是系统级的、分散的，不方便集中查询。真正要做到"所有sudo命令一条不漏地记录下来"，必须从sudoers配置层面入手，开启sudo自带的命令日志功能。下面我把完整的配置流程、注意事项、日志查看方法、以及进阶的安全加固手段一次性讲清楚。

一、为什么要记录sudo执行的所有命令

sudo是Linux系统中权限提升的核心工具，几乎所有需要root权限的操作都绕不开它。一旦服务器被入侵，或者内部人员误操作、恶意操作，如果没有完整的sudo命令日志，事后几乎无法追溯。传统的auth.log虽然也有记录，但它是系统认证日志的一部分，信息量有限，而且容易被攻击者清理。通过sudoers配置专门的命令日志，日志格式更规范、内容更完整、存储更独立，是企业级安全审计的基本要求。

具体来说，开启sudo命令日志后，每条记录会包含以下字段：执行时间、执行用户、目标用户（通常是root）、执行的主机名、执行的完整命令、命令的工作目录。这些信息对于安全事件响应、合规审计（等保、ISO27001等）都是必须的。

二、修改sudoers文件的正确方式

千万不要直接用vim或nano编辑/etc/sudoers文件，一旦语法出错，可能导致所有用户无法使用sudo，系统直接"瘫痪"。正确的做法是使用visudo命令，它会在保存时自动检查语法，出错会提示你重新编辑。

sudo visudo

打开后你会看到类似这样的内容：

Defaults        env_reset
Defaults        mail_badpass
Defaults        secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"

找到Defaults env_reset这一行，将其修改为以下内容：

Defaults        log_output, logfile="/var/log/sudo_commands.log"

如果你希望同时保留env_reset的功能（清除环境变量），可以写成：

Defaults        env_reset, log_output, logfile="/var/log/sudo_commands.log"

保存退出后，sudo的命令日志功能就生效了。从现在开始，每一次sudo执行的命令都会被追加写入/var/log/sudo_commands.log。

三、创建日志文件并设置权限

修改完sudoers后，需要手动创建日志文件并设置正确的权限，否则sudo可能因为无法写入而报错：

sudo touch /var/log/sudo_commands.log
sudo chmod 600 /var/log/sudo_commands.log
sudo chown root:root /var/log/sudo_commands.log

权限设为600是为了防止普通用户读取日志内容，因为日志里可能包含敏感的命令信息。如果你用的是rsyslog来管理日志，也可以把日志路径指向rsyslog的专用目录，比如/var/log/sudo/，但核心原理一样。

四、验证日志是否正常记录

配置完成后，随便执行一条sudo命令测试：

sudo ls /root

然后查看日志：

sudo cat /var/log/sudo_commands.log

你应该看到类似这样的输出：

username : TTY=pts/0 ; PWD=/home/username ; USER=root ; COMMAND=/usr/bin/ls /root

这说明日志记录完全正常。每一行都包含了用户名、终端类型、工作目录、目标用户和完整命令。如果你看到的是空文件或者报错，回去检查sudoers语法和文件权限。

五、日志轮转配置防止磁盘占满

sudo命令日志会持续增长，尤其是在命令执行频繁的服务器上，几个月就可能占满磁盘。必须配置logrotate来自动轮转。创建一个专门的配置文件：

sudo nano /etc/logrotate.d/sudo_commands

写入以下内容：

/var/log/sudo_commands.log {
    daily
    rotate 90
    compress
    delaycompress
    missingok
    notifempty
    create 600 root root
}

这段配置的含义是：每天轮转一次，保留90天的日志，旧日志压缩存储，如果文件不存在不报错，空文件不轮转，新文件自动创建并设置600权限。根据实际需求，你可以把rotate 90改成30或者180，compress也可以去掉如果你不想压缩。

六、配合rsyslog实现集中日志管理

如果你管理的是多台服务器，单独看每台机器的日志效率很低。可以通过rsyslog把sudo日志转发到中央日志服务器。在/etc/rsyslog.d/50-default.conf中添加或确认以下内容：

local0.*    /var/log/sudo_commands.log

然后在中央日志服务器上配置接收规则，将所有服务器的sudo日志统一存储和分析。这样做的好处是即使某台服务器被入侵，攻击者也很难清除所有日志，因为日志已经实时同步到了别的机器上。

七、日志内容的安全防护

sudo命令日志本身就是高价值的安全数据，必须防止被篡改或删除。除了前面提到的600权限外，还可以使用chattr命令给日志文件加上不可修改属性：

sudo chattr +a /var/log/sudo_commands.log

+a参数表示append only，即只能追加写入，不能修改和删除已有内容。即使是root用户也无法直接删除或篡改，必须先用chattr -a去掉属性。这是防止日志被恶意清除的最后一道防线。

另外，建议把日志文件放在单独的分区上，比如/var/log单独挂载一个分区，避免系统盘满了导致日志写入失败。

八、进阶：记录sudo会话的完整输入输出

上面的方法记录的是"执行了什么命令"，但如果你想记录命令的完整输出结果（比如某人sudo cat了一个敏感配置文件），仅靠log_output是不够的。这时候需要借助script命令或者sudo的I/O日志插件。

方法一：在sudoers中配置log_input和log_output：

Defaults        log_input, log_output, logfile="/var/log/sudo_io.log"

log_input会记录用户输入的内容（包括密码尝试，注意这会记录密码明文，生产环境慎用），log_output记录命令的标准输出和标准错误。两者结合可以还原完整的操作过程。

方法二：使用sudo配合script命令手动录制会话：

sudo script -a /var/log/sudo_session_$(date +%Y%m%d_%H%M%S).log

这种方式更灵活，但需要手动触发，适合临时排查问题时使用。

九、结合其他安全措施形成完整防护体系

sudo日志记录只是安全审计的一环，不能孤立使用。以下是配套建议：

第一，限制sudo权限范围。不要把所有用户都加入sudo组，使用/etc/sudoers中的用户权限配置精确控制谁能执行什么命令：

deploy ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx

这条规则表示deploy用户只能免密重启nginx，不能执行其他任何sudo命令。

第二，启用sudo命令的超时机制，防止用户sudo后忘记退出：

Defaults        timestamp_timeout=5

表示5分钟内不再需要输入密码，超过5分钟需要重新验证。

第三，配合fail2ban监控sudo失败次数，自动封禁暴力破解的IP：

sudo apt install fail2ban
sudo nano /etc/fail2ban/jail.local
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600

虽然这是针对SSH的，但fail2ban同样可以监控sudo相关的认证失败。

十、常见问题排查

问题一：修改sudoers后sudo命令报错"unknown defaults entry"。原因是语法写错了，比如多了空格或者逗号。用visudo重新检查，确保格式正确。

问题二：日志文件存在但没有内容写入。检查文件权限是否为600，属主是否为root。另外确认/etc/sudoers中的logfile路径没有拼写错误。

问题三：日志记录了但时间不对。这通常是系统时区问题，确保服务器NTP同步正常，时间准确是日志审计的前提。

问题四：日志被轮转后旧日志丢失。检查logrotate配置中的rotate天数是否足够，如果需要长期保存，可以把轮转后的压缩包同步到备份服务器或对象存储。

总结

Ubuntu系统中通过修改sudoers文件开启log_output并指定logfile，是实现sudo所有执行命令完整记录的最直接、最可靠的方法。配合日志轮转、权限加固、chattr保护、集中日志管理等手段，可以构建一套完整的sudo操作审计体系。安全不是单点防护，而是层层叠加，sudo日志记录是其中最基础也最重要的一层。把这件事做好，你的服务器安全审计能力会上一个大台阶。