Linux创建普通管理员并配置sudo
多人共用root既难追查操作，也容易把普通任务放在最高权限下运行。可以为管理员创建独立账号，通过sudo执行确有需要的管理命令。以下以 baoleadmin 为示例；请换成你要创建的账号，先保留原管理连接。
创建账号并加入sudo组
getent passwd baoleadmin
sudo adduser baoleadmin
sudo adduser baoleadmin sudo
id baoleadmin第一条若已返回账号记录，先确认账号归属，不要重复创建或覆盖其目录。创建时按提示设置独立强密码，密码输入通常不显示字符；附加的姓名等资料按实际需要填写。最后的id输出应包含目标用户及sudo组。Debian镜像若未安装sudo，或组织使用其他授权策略，应由现有管理员按该系统规范配置，不能照抄组名就认为授权完成。
用新登录验证实际权限
ssh -p 22 baoleadmin@203.0.113.10
whoami
id
sudo -l
sudo whoamissh命令在另一条本地终端执行，替换实际端口与IP。若服务器只允许公钥认证，已有sudo管理员可先在保留原会话的情况下执行 sudo -iu baoleadmin，用whoami确认已切换到新账号，再按SSH密钥教程的服务器端步骤安装其公钥；完成后执行exit回到原管理员会话，再从另一终端验证SSH。不要为了验证新账号而临时开启密码认证。登录后whoami应显示新账号，sudo whoami在授权并验证成功后显示root。sudo通常要求当前用户密码，不是宝乐云网站密码；密钥登录也不自动免除sudo的密码验证要求。刚加组的旧会话可能尚未取得新组身份，需使用新登录会话检查。
区分三类失败
| 现象 | 检查 |
|---|---|
| SSH直接拒绝或超时 | 先核对新用户是否被AllowUsers/AllowGroups等SSH规则允许，以及实际网络端口；加sudo组不负责开放SSH |
| not in the sudoers file / 无授权 | 核对id输出和当前授权方案；由已有管理员修改，不能依靠新账号给自己提权 |
| sudo密码错误 | 确认是在输入新系统账号的密码；避免反复尝试触发锁定 |
sudo组通常拥有广泛管理权限，只分配给确有需要的管理员。只需上传文件、运行某个程序的账号，不应自动加入sudo组。需要限定命令时，由熟悉sudoers的管理员使用 visudo 校验配置，并验证参数范围，不能用一条宽泛的NOPASSWD规则代替设计权限。
确认可用后再收尾
- 确认新账号可从独立终端登录，sudo权限符合预期，业务所需目录可访问。
- 为每位管理员分别建号并记录负责人；不要共享密码或私钥。
- 旧账号是否停用、root是否限制SSH，作为另一项有恢复方案的变更单独处理，不在创建新账号时顺手关闭唯一入口。
- 人员离开时还需处理SSH授权密钥、现存会话、定时任务和服务归属；仅锁定密码不能覆盖这些访问方式。