配置服务器权限基线自动化检查需建立可重复、可验证、可修复的闭环机制，聚焦高风险路径如/etc/shadow（600）、/etc/sudoers（440）、/root（700）等，用stat比对权限，支持yaml自定义规则、彩色终端输出、json/csv导出及白名单自动修复，并嵌入git、定时任务、ci/cd与实时监控流程。
配置服务器权限基线自动化检查，关键在于建立可重复、可验证、可修复的闭环机制，而不是堆砌工具或跑一次脚本就完事。核心是把“该是什么样”定义清楚，再让机器自动比对、告警、（谨慎地）修正。
明确要管哪些路径和权限
先聚焦高风险项，避免泛泛而谈。以下路径必须纳入基线清单：
- /etc/shadow：权限必须为 600，属主属组均为 root
- /etc/sudoers 和 /etc/sudoers.d/ 目录下文件：统一设为 440（root:root），禁写权限
- /etc/passwd 和 /etc/group：建议 644；若环境敏感，/etc/group 可收紧为 640
- /root 目录：权限严格控制为 700
- /tmp 和 /var/tmp：必须启用 sticky bit，即 1777
- /etc/ssh/sshd_config：推荐 600 或 644，严禁 666、646 等宽松权限
用轻量脚本实现自动比对
不依赖复杂平台，单个 Bash 脚本即可启动。核心逻辑是用 stat 获取真实权限，而非解析 ls -l 输出（易错位）：
codex-orchestration
下载
一款AI工具，主要用于Codex 通用编排：利用 `update_plan` 与后台 PTY 终端并行运行 `codex exec` 工作进程，适合需要提升相关任务效率的用户。
- 执行 stat -c "%a %U:%G %n" /etc/shadow 获取八进制权限、属主属组及路径
- 逐项比对预设基线值，如发现当前是 644 而期望是 600，则标记为异常
- 对不存在的文件给出提示但不停止扫描；符号链接默认跳过，加 --follow 参数才解析目标文件
- 支持 YAML 自定义规则，例如：
/etc/myapp/config.conf:
mode: "640"
owner: "myapp"
group: "myapp"
输出与修复要兼顾人机可用
结果不能只给运维看，也要方便系统集成：
- 终端输出带颜色高亮：合规项绿色，越权项红色，一眼识别风险
- 加 --json 参数生成标准 JSON，含时间戳、路径、当前权限、期望权限、是否合规字段，供 SIEM 或监控平台消费
- 加 --csv 输出表格格式，适合导入 Excel 做趋势分析或审计留痕
- 加 --fix（需 root 权限）自动修复，但仅作用于白名单路径（如 /etc/shadow、/etc/sudoers），防止误改系统关键结构
嵌入日常运维才真正生效
自动化不是独立动作，而是流程一环：
- 脚本本身放入 Git 版本库，每次权限基线变更都留记录、走评审
- 用 systemd timer 或 cron 每日定时运行，失败时邮件或企业微信告警
- 在 CI/CD 流水线中加入检查步骤，例如 Ansible 执行前校验 /etc/sudoers 权限是否仍为 440
- 配合 inotifywait 监控 /etc 目录变更，一旦非 root 用户修改了 shadow 文件，立即触发告警
