linux用户权限评估需围绕最小权限、职责分离、审计追溯三维度，分类识别真实高风险（如普通用户获/etc/shadow读写）、自动化扫描四类配置项，并在合规报表中给出可操作结论。

Linux系统用户权限等级评估的核心是识别谁拥有什么权限、这些权限是否合理、是否存在越权风险。合规性报表不是简单罗列用户列表，而是围绕最小权限原则、职责分离、审计可追溯性三个关键维度组织数据。

一、权限等级分类需结合实际角色而非仅看UID或组名

不能仅凭是否为root（UID 0）或是否在wheel/sudo组就判定“高权限”。真实风险常来自：

• 普通用户被赋予了/etc/shadow的读写权限（如通过ACL或错误的chmod设置）
• 服务账户（如www-data、mysql）拥有交互式shell（/bin/bash）且密码未禁用
• 开发人员账户被加入docker组，等同于获得宿主机root能力
• 临时提权工具（如sudo中未限制命令的NOPASSWD条目）长期存在且无过期机制

二、自动化评估需覆盖四类关键配置项

人工检查易遗漏，建议用脚本定期扫描并归类。重点关注：

• 敏感文件权限：/etc/passwd（应644）、/etc/shadow（应600）、/etc/sudoers（应440）、ssh私钥（应600）
• sudo策略细节：使用sudo -l -U username逐个验证，识别通配符（如/bin/*）、无命令限制的NOPASSWD、未启用requiretty等弱配置
• 登录与认证控制：检查/etc/ssh/sshd_config中PermitRootLogin、PasswordAuthentication、AllowGroups/AllowUsers设置；确认PAM模块是否启用faillock或pam_tally2
• 非标准提权路径：find / -perm -4000 2>/dev/null（SUID）、find / -group sudo 2>/dev/null（非sudo组却属sudo组文件）、systemd定时任务中以root身份运行的用户脚本

三、合规性报表应包含“可操作结论”而非仅原始数据

一份有效报表需让安全或运维人员快速判断下一步动作。结构建议如下：

• 风险摘要页：高风险项数量（如：3个SUID可执行文件未签名、2个用户具备无限制sudo权限）、中风险项趋势（较上月+12%）
• 用户级明细表：每行一个用户，列包括：登录Shell类型、主组/附加组、sudo权限范围（精简为“ALL”/“/usr/bin/systemctl only”/“passwordless /bin/mount”等）、最近sudo使用时间（从/var/log/auth.log提取）、SSH密钥强度（RSA
• 整改建议栏：对每个高风险项给出具体命令，例如：“userA属于docker组 → 执行 gpasswd -d userA docker”、“/usr/local/bin/backup.sh为SUID且属userB → 改为 chmod u-s /usr/local/bin/backup.sh && chown root:root …”

四、持续合规需嵌入运维流程而非单次检查

权限漂移是常态。建议将评估纳入CI/CD或配置管理流程：

• Ansible/Puppet执行用户变更后，自动触发权限快照比对（diff上次基线）
• 新服务器上线前，强制运行check-perm.sh脚本，失败则阻断部署
• 每月导出报表时，同步生成users_to_review.csv（含90天未登录、无sudo但属adm组、home目录权限宽松等标记用户），交由部门负责人确认留存或清理