sudo: Benutzer nicht in der sudoers-Datei

So sieht die Meldung aus

$ sudo apt update
[sudo] password for anna:
anna is not in the sudoers file.  This incident will be reported.

Häufige Ursachen

Der Benutzer ist nicht Mitglied der Gruppe sudo. Bei Debian wird der erste Benutzer oft nicht eingetragen, wenn bei der Installation ein Root-Passwort gesetzt wurde.
Der Benutzer wurde zur Gruppe hinzugefügt, aber die aktuelle Sitzung hat noch die alte Gruppenliste. Eine neue Anmeldung ist nötig.
Die Zeile %sudo ALL=(ALL:ALL) ALL wurde in /etc/sudoers oder in einer Datei in /etc/sudoers.d/ entfernt oder geändert.
Eine Regel für einen Benutzernamen nutzt eine andere Schreibweise, z. B. einen anderen Domänennamen oder Groß-/Kleinschreibung.

Prüfen

Welche Gruppen hat der Benutzer in dieser Sitzung?
id
Wer ist in der sudo-Gruppe?
getent group sudo
Welche sudo-Regeln gibt es? (braucht root, per su)
su -c 'grep -rvE "^(#|$)" /etc/sudoers /etc/sudoers.d/'
Ist die sudoers-Syntax gültig?
su -c 'visudo -c'

Lösung

Werde root mit su - (braucht das Root-Passwort) oder nutze ein anderes Admin-Konto oder die Konsole.
Den Benutzer hinzufügen: usermod -aG sudo anna. Das -a unbedingt behalten, sonst verliert der Benutzer alle anderen Gruppen.
Ab- und wieder anmelden oder eine neue SSH-Sitzung starten, dann mit id prüfen.
Regeln nur mit visudo oder visudo -f /etc/sudoers.d/name ändern. Es prüft die Syntax vor dem Speichern. Eine kaputte sudoers-Datei kann dich aus sudo aussperren.
Ist sudo gar nicht installiert, als root nachinstallieren: apt install sudo.

Häufige Fragen

Wer sieht „This incident will be reported“?

Es wird ins System-Log geschrieben, meist ins Authentifizierungs-Log oder ins Journal. Es wird nicht automatisch an jemanden geschickt. Ein Admin kann es dort finden.

Warum wirkt die Gruppenänderung nicht sofort?

Die Gruppenmitgliedschaft wird bei der Anmeldung gelesen. Ein offenes Terminal behält die alte Liste, bis du dich neu anmeldest.

sudo: Benutzer is not in the sudoers file. This incident will be reported.