A 和 B 假如都是 sudo 组，那如何阻止 B 把 A 给踢出 sudo 组

那当然是不能阻止的

想起了大学宿舍群，4 个人都是管理员。

sudo passwd

都可以修改 root 的密码，显然不能阻止 B 把 A 踢出。sudo 以后等同于 root 权限了

这个你可能需要 https://blog.csdn.net/saga1979/article/details/87929605

我还以为肯定有人会说放个暗桩，当检测到 A 不是 sudo 组时把 B 踢出 sudo 组同时把 A 加回来，没想到现在都这么和谐了么...

感觉会有 racing condition 啊
指令还在队列里，然后被 t 了

是可以实现的，不过不太完美，对蓄意修改者还是无效，对一般用户来说没问题。
实施限制
可以对用户能够运行的命令实施限制。假设有一个名为 dataex 的组，其成员是 “ alpha ”、“ bravo ” 和 “ charlie ”。现在，已经允许这个组运行 sudo 命令 /usr/local/bin/mis_ext *，这里的星号代表传递给脚本的许多参数。但是，如果参数是 import，就不允许用户 “ charlie ” 执行此脚本。可以使用逻辑否 '!' 操作符设置这种条件。下面是在 sudoers 中的实现方法：
1 %dataex rs6000 = (dbmis) NOPASSWD: /usr/local/bin/mis_ext *
2 charlie rs6000 = (dbmis) NOPASSWD: !/usr/local/bin/mis_ext import

参考:https://www.ibm.com/developerworks/cn/aix/library/au-sudo/index.html

@alphatoad 不会，sudo 只在开始时验证权限
比如你 sudo bash，那即使你被剔出 sudoer，这个 bash 还是有 root 权限

@ryd994 其实我想的更多的是 shell 在 execl 的时候的表现，个人认为这里不会有 racing condition

selinux ？

@exip 看你这字母解释法，是玩业余无线电的吗

任何人都可以踢人。

记住 linux 的提示，权限越大责任越大。

@ibreaker 你说的是这个吧，无线电中字母的读法。
A：ALFA 　
B：BRAVO 　
C：CHARLIE 　
D：DELTA
E：ECHO
F：FOXTROT
G：GOLF
H：HOTEL
I：INDIA
J：JULIET
K：KILO
L：LIMA
M：MIKE
N：NOVEMBER
O：OSCAR
P：PAPA
Q：QUE Ｂ EC
R：ROMEO
S：SIERRA
T：TANGO
U：UNIFORM
V：VICTOR
W：WHISKEY
X：X-RAY
Y：YANKEE
Z：ZULO

设定允许 /禁止 sudo 运行的命令，当然比较靠谱的就是把安全的命令穷举一下放在允许 sudo 执行的命令列表里面♂

你可以通过 visudo 限制 sudo 能够执行的命令。