Эта вот строчка мне каждый раз мозг выносит — куда воткнуть NOPASSWD в sudoers, чтобы заработало:

%sudo   ALL=(ALL:ALL) ALL

А разгадка проста:

%sudo   ALL=(ALL:ALL) NOPASSWD:ALL

И ещё одни важные грабли: срабатывает последнее правило, которое заматчило. Например, если вы хотите для себя одного сделать исключение в виде NOPASSWD, добавьте это правило в самом конце файла для гарантии, иначе может не сработать.