linux服务器权限管理体系需分层管控：用户身份认证、最小权限分配、操作审计及网络服务限制。强制密钥ssh登录、禁用root远程访问、按职能分组管理、sudo白名单提权、文件系统严格权限、systemd沙箱隔离、auditd行为监控、sudo日志集中化及faillock失败锁定告警。
构建一套完整的Linux服务器权限控制与访问管理体系，核心在于分层管控：从用户身份认证、最小权限分配、操作行为审计，到网络与服务级访问限制，环环相扣。不靠单一手段，而靠策略组合落地。
精细化用户与组管理
避免长期使用root，所有运维人员必须使用独立账号。按职能划分用户组（如deploy、backup、dbadmin），通过/etc/group和usermod -aG精准加入。关键操作禁止直接登录shell，改用sudo -i临时提权，并在/etc/sudoers中用Cmnd_Alias定义白名单命令（如只允许/bin/systemctl restart nginx，禁用/bin/bash或/usr/bin/vim）。
SSH访问强管控
禁用密码登录，强制密钥认证；关闭root远程登录（PermitRootLogin no）；限制可登录用户（AllowUsers user1@192.168.1.0/24 user2@2001:db8::/64）；启用MaxAuthTries 3和LoginGraceTime 60防暴力试探。生产环境建议启用ForceCommand配合authorized_keys的command=字段，锁定用户仅能执行指定脚本（如备份任务）。
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
文件系统与服务级权限隔离
敏感目录（如/etc/nginx、/var/www）设置严格属主与掩码：chown -R nginx:www-data /var/www + chmod 750 /var/www + chmod 640 /var/www/*.conf。对守护进程启用systemd沙箱机制：在服务单元文件中配置ProtectSystem=strict、ReadOnlyPaths=/etc、NoNewPrivileges=yes，阻止提权后写入关键路径。
操作审计与异常响应闭环
启用auditd监控关键系统调用：-w /etc/shadow -p wa -k identity、-a always,exit -F arch=b64 -S execve -k command。所有sudo命令日志必须写入独立文件（Defaults logfile="/var/log/sudo.log"），并用rsyslog实时转发至中央日志服务器。配置faillock（PAM模块）实现5次失败后锁定30分钟，同时触发邮件告警脚本（通过pam_exec.so调用）。
