审计服务器用户权限需按“谁有什么权限、为什么有、现在还该不该有”动态判断，聚焦高危账户、敏感资源、特权操作，通过查配置、对职责、看痕迹、试越权四步法交叉验证，并嵌入入职/转岗、季度快照、离职冻结等常态化机制。
审计服务器用户权限分配是否合理，关键在于验证“谁有什么权限、为什么有、现在还该不该有”。不能只看配置是否生效，而要结合角色职责、实际使用情况和安全策略做动态判断。
明确审计目标与范围
先划定要查什么，避免泛泛而谈。重点关注三类对象：
- 高危账户：root、administrator、服务账户（如www-data、mysql）、长期未登录的测试账户
- 敏感资源：/etc、/var/log、数据库系统库、私钥文件、备份目录、应用配置文件
- 特权操作：sudo使用记录、su切换行为、数据库GRANT语句、K8s clusterrolebinding
执行四步核查法
不依赖单一工具，用组合方式交叉验证：
- 查配置现状：用命令提取真实权限设置。Linux下运行getent group、sudo -l -U username；MySQL中执行SHOW GRANTS FOR 'user'@'host';；K8s中用kubectl auth can-i --list --as=username
- 对角色职责：对照岗位说明书或RBAC矩阵，确认当前权限是否匹配。例如开发者账号能否执行DROP TABLE？运维组是否被授予了应用代码目录的写权限？
- 看使用痕迹：检查/var/log/auth.log（Linux）、Windows事件日志ID 4624/4672、数据库general_log，确认权限是否被实际调用。长期无登录、无命令执行的账户，大概率可回收
- 试越权边界：以用户身份尝试典型越权操作。例如让测试员执行ls /root，让普通用户连接生产数据库，观察是否被有效拦截
建立常态化审查机制
权限不是设一次就完事，需嵌入运维流程：
- 入职/转岗同步审核：新用户加入时，按角色模板自动创建账户并赋权；员工调岗后24小时内清理原岗位权限
- 季度权限快照比对：导出当前所有用户权限清单，与上一季度存档对比，标红新增、删除、变更项
- 离职即冻结：HR发起流程后，自动禁用账户并移出所有组，72小时内完成权限清除审计报告
用好审计日志与自动化工具
人工抽查效率低，需借助日志与脚本提升覆盖度：
- 确保sudoers启用log_input log_output，命令执行过程可回溯
- 在K8s集群部署kube-audit或使用kubectl get rolebindings,clusterrolebindings -o wide定期扫描绑定关系
- 编写简单校验脚本，例如检查所有非root用户是否意外拥有/etc/shadow读权限：find /etc -name shadow -perm -o+r
