服务器权限定期复核是闭环管理动作，需明确范围与触发条件、分层设定周期、用脚本固化检查并输出可执行结论，嵌入运维日常节奏。
服务器权限定期复核不是“再查一遍”，而是有节奏、有重点、可追溯的闭环管理动作。关键在于把“谁该有什么权限”变成一条清晰的业务线，而不是堆砌检查项。
明确复核范围与触发条件
聚焦真正影响安全边界的权限点，避免泛泛而谈：
- 人员变动类：员工离职、转岗、借调——HR系统同步后24小时内必须完成权限清理
- 角色过期类：临时权限（如故障排查、项目支持）超过72小时未申请延期，自动失效并告警
- 行为异常类：某用户连续30天未登录，或近7天无任何sudo操作，标记为“疑似闲置”
- 组成员类：wheel、sudo、docker等高权限组，每季度比对一次成员列表与在职名单
设定分层复核周期
不同风险等级的权限，复核频率应拉开差距：
- 超级管理员权限：每月人工抽检+日志回溯（重点看su/sudo切换路径和执行命令）
- sudoers配置项：每日自动化扫描（用visudo -c + grep提取ALL/NOPASSWD/无路径限定等高风险行）
- 普通用户账户：每季度批量比对lastlog -b 90 + /etc/passwd中shell类型 + /etc/shadow密码字段状态
- SSH密钥与API Token：纳入Git仓库管理的密钥清单，每60天强制轮换并验证有效性
用脚本固化检查逻辑，输出可执行结论
复核不能只输出“发现5个问题”，要直接告诉运维下一步做什么：
- 发现user_test账户shell为/bin/false但shadow中有有效密码 → 建议立即执行passwd -l user_test
- 检测到/usr/local/bin/backup.sh被设为SUID且属主为普通用户 → 标记为红色风险，需确认是否业务必需，否则chmod u-s
- 某sudo规则允许NOPASSWD: /bin/rm → 黄色预警，建议替换为带参数白名单的专用脚本
每次运行脚本自动记录时间戳、变更前状态、处置动作及执行人，存入统一审计日志目录。
嵌入运维日常节奏，避免流于形式
让复核成为“顺手做的事”，而不是额外负担：
- 通过cron在每日凌晨2:15执行轻量级检查（find + awk + lastlog组合），结果邮件推送至运维+安全接口人
- 每月第一个工作日，由值班工程师抽检10%的告警项，验证脚本准确性，并更新白名单（例如：某业务账户确需SUID，加入例外注释）
- 所有复核脚本托管在内部Git仓库，每次修改附带注释说明原因（如“新增检测SSH密钥创建时间超90天”）
