linux系统级配置文件权限管理需遵循最小权限原则、职责分离与可审计性，通过用户组划分（如sysadmin、netadmin）、acl细化控制、sudo策略约束编辑行为，并将变更纳入git版本与审批流程闭环。
Linux系统级配置文件的权限分层级管理，核心是“最小权限原则 + 职责分离 + 可审计性”。不能简单靠chmod 600了事，而要结合用户组、文件所有权、访问控制列表（ACL）和sudo策略协同实现。
按角色划分管理组，避免直接使用root
为不同运维职责创建专用用户组，例如：
- sysadmin：可修改/etc/fstab、/etc/default/grub等基础系统配置
- netadmin：仅能编辑/etc/network/interfaces、/etc/hosts、/etc/resolv.conf
- secadmin：负责/etc/shadow、/etc/pam.d/等安全相关配置
- appconf：管理应用专属配置，如/etc/nginx/nginx.conf、/etc/postgresql/
操作示例：
sudo groupadd netadmin
sudo usermod -aG netadmin alice
sudo chgrp netadmin /etc/hosts
sudo chmod 640 /etc/hosts
用ACL细化单个文件的读写权限
当标准UGO权限不够灵活时（例如：某开发需临时修改/etc/environment），启用ACL更精准：
- 确保文件系统支持ACL（挂载选项含default_acl或acl）
- 设置用户级权限：sudo setfacl -m u:bob:rw /etc/environment
- 设置组级权限：sudo setfacl -m g:devops:r /etc/systemd/system/myapp.service
- 查看ACL：getfacl /etc/environment
- 注意：ACL不继承，需对新配置文件显式设置；/etc目录下慎用写权限，优先用只读+sudo编辑流程
通过sudoers约束配置修改行为
比开放文件写权限更安全的方式，是授权“以特定身份执行编辑命令”：
- 允许netadmin组用visudo语法安全编辑网络配置：
%netadmin ALL=(root) /usr/bin/vi /etc/hosts, /usr/bin/vi /etc/resolv.conf
- 强制使用指定编辑器并禁用shell逃逸：
Defaults:%netadmin editor=/usr/bin/vim, !env_reset, noexec
- 配合日志审计：sudoers中添加 Defaults logfile="/var/log/sudo-config.log"
配置文件变更必须纳入版本与审批流程
权限管理只是起点，真正的分层体现在变更闭环：
- 所有/etc下的关键配置文件应软链接到Git仓库（如 /etc/nginx → /opt/config-repo/nginx）
- 修改必须提交PR，经CI检查语法（nginx -t、systemctl daemon-reload --dry-run）、diff白名单校验后合并
- 自动部署脚本触发更新，并记录commit hash、操作人、时间戳到审计日志
- 禁止直接在生产机上手工vim修改——权限可设为640，但更关键是流程卡点
