双人审计是职责分离、操作绑定与全程留痕的刚性机制：申请人发起请求但无权执行，授权人独立验证并限时审批，执行带唯一编号且日志不可删改。
核心资产的高权限账户操作不能靠“一人说了算”，必须让关键动作经过两名独立人员确认，同时确保全过程可查、可溯、不可抵赖。“双人审计”不是两人一起敲命令，而是把“申请—授权—执行—留痕”拆成刚性环节，让权力分散、行为受控。
明确双人审计的核心逻辑
双人审计本质是“职责分离+操作绑定+全程留痕”： - 申请人发起操作请求，但无权直接执行； - 授权人独立验证请求内容（时间、目标、命令、申请人身份），不与申请人共享终端或会话； - 执行动作必须带唯一审批编号，且仅在授权生效窗口期内有效； - 所有环节日志写入不可删、不可改的审计通道（如远程syslog服务器或WORM存储）。
通过堡垒机落地双人审计流程
生产环境首选云堡垒机（如阿里云云盾CBH、华为云堡垒机），因其原生支持金库模式和强审计能力： - 在【访问控制策略】中为数据库主库、核心跳板机等资源启用“双人授权”开关； - 指定2–3名跨岗位的授权候选人（如运维组长+安全工程师，禁止同组互授）； - 开启MFA强制校验，授权人必须输入本人账号+动态令牌，系统自动比对设备指纹与登录IP； - 每次授权生成结构化日志，含操作对象、原始命令哈希、双方账号UID、精确到毫秒的时间戳、会话ID。
无堡垒机时用sudo脚本实现轻量双审
中小团队可用Linux基础组件构建最小可行双审链路： - 创建两个隔离用户组：sudo_requestors（仅能提交）、sudo_approvers（仅能审批）； - 所有高危命令（如/usr/bin/systemctl restart mysql）禁用直接sudo，统一走包装脚本/usr/local/bin/sudo-req； - 脚本自动生成带SHA256哈希的请求文件（存于/var/log/sudo-requests/），并输出唯一编号（如REQ-20260506-8A3F）； - 审批人需SSH登录专用终端，运行sudo sudo-approve --confirm REQ-20260506-8A3F，脚本校验时效（默认15分钟）、白名单、申请人归属后，才临时写入/etc/sudoers.d/下带at定时清理的单次规则。
审计闭环必须覆盖“人、事、证”三要素
双人机制失效往往始于审计断点，需同步加固日志链条： - 启用tlog录制所有sudo会话，视频级还原操作过程； - 将/var/log/secure、/var/log/sudo-audit.log实时转发至独立日志服务器，禁用本地删除权限； - 审计日志字段至少包含：申请人UID与源IP、授权人UID与认证方式（OTP/短信）、命令原始字符串与哈希值、执行返回码、会话起止时间； - 每月由非运维部门（如内审或合规岗）抽样回放10%的高危操作录像，验证双人动作是否真实发生、间隔是否合理、内容是否一致。
