创建审计专员账户需遵循最小权限原则：新建禁用shell的专用用户auditadmin，配置ssh密钥认证与受限命令shell（audit-shell），仅开放logs/journal/ps/df四类只读操作，并通过组权限与acl严格控制日志路径访问。

创建系统审计专员账户并配置只读权限，核心是“最小权限原则”+“精准权限隔离”：用独立账号、禁用登录Shell、仅授予必要只读命令和日志路径访问权，不依赖sudo全量权限。

一、新建专用审计用户并禁用交互式登录

避免复用已有账户，防止权限扩散。使用/sbin/nologin替代/bin/bash，彻底禁止shell登录，仅支持SSH密钥认证下的受限命令执行。

• 执行命令创建用户：sudo useradd -m -s /sbin/nologin auditadmin
• 设置强密码（仅用于初始SSH密钥绑定，后续应禁用密码登录）：sudo passwd auditadmin
• 生成并部署SSH密钥（服务端强制密钥认证）：sudo mkdir -p /home/auditadmin/.ssh && sudo chmod 700 /home/auditadmin/.ssh，将公钥写入/home/auditadmin/.ssh/authorized_keys，并设权限为600
• 在/etc/ssh/sshd_config中添加限制：Match User auditadmin
    ForceCommand /usr/local/bin/audit-shell
    AllowTcpForwarding no
    X11Forwarding no

二、构建受限只读Shell环境（audit-shell）

不直接授予bash或sh，而是通过自定义包装脚本控制可执行命令范围，防止绕过权限限制。

• 创建/usr/local/bin/audit-shell（需root权限）：

#!/bin/bash
readonly CMD="$1"
case "$CMD" in
  "logs") exec /bin/bash -c 'ls -l /var/log/*.log /var/log/audit/ 2>/dev/null || echo "No log files accessible"' ;;
  "journal") exec /usr/bin/journalctl --no-pager -n 50 -o short-iso ;;
  "ps") exec /bin/ps aux --no-headers | /usr/bin/awk '{print $1,$2,$8,$11}' ;;
  "df") exec /bin/df -hT / /var/log ;;
  *) echo "Allowed: logs | journal | ps | df" >&2; exit 1 ;;
esac

• 赋予执行权限：sudo chmod +x /usr/local/bin/audit-shell
• 确保该脚本不被普通用户修改：sudo chown root:root /usr/local/bin/audit-shell && sudo chmod 755 /usr/local/bin/audit-shell

三、精细化日志目录与文件权限控制

仅开放审计必需的日志路径，禁用写、执行及递归遍历权限，避免敏感信息泄露或误删。

• 创建审计组并加入用户：sudo groupadd auditgrp && sudo usermod -aG auditgrp auditadmin
• 设置日志目录属组与权限：sudo chgrp -R auditgrp /var/log/audit/ /var/log/secure /var/log/messages
    → 再执行：sudo chmod -R 750 /var/log/audit/ /var/log/secure /var/log/messages
• 对关键日志文件（如/var/log/audit/audit.log）单独加固：sudo chmod 640 /var/log/audit/audit.log，防止组内成员意外覆盖
• 启用ACL补充控制（如需更细粒度）：sudo setfacl -m u:auditadmin:r /var/log/audit/audit.log

四、验证与日常运维要点

权限配置后必须实测，且需建立定期审查机制，防止配置漂移。

• 切换到审计账户测试：sudo -u auditadmin /usr/local/bin/audit-shell logs，确认能列出日志但不能编辑
• 尝试非法操作验证防护效果：sudo -u auditadmin touch /var/log/messages → 应返回“Permission denied”
• 审计账户禁止使用sudo，检查/etc/sudoers中无auditadmin相关条目
• 每月运行一次检查脚本，确认用户Shell、组成员、日志目录权限未被意外变更