linux不原生支持rbac，但可通过sudo、selinux等机制实现；关键在于角色抽象、权限最小化、职责分离与审计，需通过sudoers别名、组绑定、selinux域隔离及持续验证构建动态闭环。
Linux系统本身不原生支持RBAC（基于角色的访问控制），但可通过PAM、sudo、SELinux或AppArmor等机制模拟和实现RBAC模型。真正落地RBAC加固，关键在于角色抽象、权限最小化、职责分离与审计可追溯——不是简单给用户加sudo权限，而是构建“角色→权限集→用户组”的映射闭环。
用sudoers定义角色权限边界
避免直接授予ALL权限，应按职能划分角色（如backup_admin、db_operator、web_deployer），并通过Host_Alias、Cmnd_Alias、User_Alias在/etc/sudoers中声明：
- 用Cmnd_Alias限定每类角色仅能执行特定命令集（如db_operator只允许/usr/bin/mysql、/usr/bin/mysqldump及指定脚本）
- 配合NOPASSWD时务必限制命令参数（用sudoers的“!”排除危险选项，如!/bin/bash、!/usr/bin/su）
- 启用requiretty和env_reset防止环境变量劫持，添加timestamp_timeout=5缩短凭证缓存时间
结合系统组实现角色-用户绑定
创建与角色同名的系统组（如groupadd db_operator），将用户加入对应组，再在sudoers中用%db_operator ALL=(DB_USER) /usr/bin/mysql实现“组→角色→目标用户”的三级控制：
- 禁止用户直接登录高权限账户（如mysql用户禁止shell登录：usermod -s /usr/sbin/nologin mysql）
- 敏感操作强制切换上下文：sudo -u DB_USER mysql -D appdb -e "SHOW TABLES;"
- 定期清理闲置角色组成员，用getent group db_operator检查实际归属
启用SELinux强化进程级角色隔离
在Enforcing模式下，为不同服务角色配置专用SELinux域（如httpd_db_role_t、backup_cron_role_t），限制其只能访问授权类型：
- 用semanage fcontext为数据库备份脚本标记backup_exec_t，再用chcon -t backup_exec_t /opt/scripts/backup.sh
- 通过sesearch -A -s httpd_t -t mysqld_db_t -c file -p read 查看Web服务是否越权读取MySQL数据目录
- 审计拒绝日志：ausearch -m avc -ts recent | audit2why，持续收敛策略规则
审计与持续验证不可省略
RBAC有效性依赖可观测性。除常规sudo日志（/var/log/secure），还需主动验证：
- 用sudo -l -U username 检查用户实际可用命令，识别隐式继承的宽泛权限
- 每周运行find /etc/sudoers* -type f -exec sudoers -c {} \; 确保语法有效且无冲突包含
- 对关键角色执行权限冒烟测试：以该角色用户身份尝试典型操作+越界操作，确认预期放行/拒绝
不复杂但容易忽略的是角色生命周期管理——新员工入职分配角色组、转岗时及时移出旧角色、离职后立即禁用账号并清除sudoers残留条目。RBAC不是一次配置，而是权限随人走、随岗变的动态闭环。
