如何管理审计员账号的只读与日志访问_审计权限的精准划定-phpMyAdmin-PHP中文网

审计账号必须禁用交互式shell并严格限定sudo权限路径，同步校准audit.log文件权限与SELinux上下文，且应用层只读角色不等于系统级只读，需交叉审计。

审计账号必须禁用交互式 shell，否则权限形同虚设

很多团队创建了 shenji 这类审计用户，却忘了关掉它的登录能力——只要能执行 /bin/bash 或 /bin/sh，就能绕过 sudoers 里限制的命令列表，直接调用 curl、python 甚至 gdb 读取内存或提权。这不是理论风险，真实渗透测试中常被利用。

创建账号时务必加 -s /sbin/nologin（或 /usr/sbin/nologin）： useradd -s /sbin/nologin shenji
若已创建，用 usermod -s /sbin/nologin shenji 补救
验证是否生效：sudo -u shenji bash 应返回 This account is currently not available.
别依赖 chsh 修改，它可能被普通用户调用，而 usermod 需 root 权限，更可控

sudoers 中只允许可信二进制，且必须限定完整路径

写 shenji ALL=(root) NOPASSWD: tail 是错的——系统 PATH 可被篡改，攻击者可放一个恶意 tail 到 /tmp 并修改 $PATH。审计账号的每一条 sudo 权限都必须带绝对路径，且仅包含审计真正需要的工具。

正确写法示例（注意路径）：
shenji ALL=(root) NOPASSWD: /usr/bin/tail, /usr/bin/head, /usr/bin/cat, /usr/bin/less, /usr/bin/ausearch, /bin/journalctl
journalctl 要显式授权，因默认不走 /var/log/ 文件系统，而是通过 systemd-journald socket 通信，权限机制不同
避免授权 more：老版本存在缓冲区溢出漏洞（CVE-2018-1000001），且功能与 less 重叠
不要加 SETENV 或 NOEXEC 以外的 flag，NOEXEC 在部分发行版上与 less 冲突，慎用

audit.log 文件权限和 SELinux 上下文必须同步校准

即使 sudoers 写对了，审计用户仍可能卡在“Permission denied”——因为 /var/log/audit/audit.log 默认属主是 root:root，权限是 600，连 adm 组都读不了。更隐蔽的是 SELinux：即便 chmod 改成 640，若上下文不是 auditd_log_t，ausearch 或 cat 仍会被拒绝。

标准修复组合：
sudo chown root:adm /var/log/audit/audit.log
sudo chmod 640 /var/log/audit/audit.log
sudo chcon -t auditd_log_t /var/log/audit/audit.log
检查当前上下文：ls -Z /var/log/audit/audit.log，输出应含 auditd_log_t
若系统用 AppArmor（如 Ubuntu），需确认 /etc/apparmor.d/usr.sbin.auditd 允许 shenji 所用命令访问该路径
切勿用 chattr +i 锁死日志文件——auditd 进程自己就写不进去了，会导致日志截断或服务崩溃

Redash 或 SLS 类平台中，“只读审计员”角色 ≠ Linux 系统级只读

很多人以为给审计员配个 Redash 的 viewer 角色，或阿里云 RAM 的只读策略，就万事大吉。但这两者管的是应用层行为，和底层系统日志访问完全隔离。比如 Redash 的 Change 模型能记录谁改了仪表板，但它不记录谁用 sudo tail /var/log/messages 查了内核 panic——这两个维度的日志必须分开管控、交叉比对。

Redash 审计员账号应绑定独立数据库用户，且该用户在 MySQL 层面只授予 SELECT on redash.changes，禁止 FILE 权限（防读取服务器文件）
阿里云 RAM 的 log:Get* 权限只管 SLS Project 内数据，不管 ECS 实例上的 /var/log/audit/；两者要分别配置、分别轮询
关键交叉点在于时间戳对齐：Redash 的 changes.created_at 和 audit.log 里的 msg=audit(1741825260.123:456) 时间格式不同，排查时得用 ausearch --start today --input-logs | grep redash 主动关联