服务器账户权限定期复核是有节奏、有重点、可追溯的闭环管理，涵盖人员变动、角色过期、行为异常、高权组四类触发条件，分层设定复核周期，脚本固化检查并输出可执行处置指令，嵌入日常运维节奏。
服务器账户权限定期复核不是“再查一遍”，而是有节奏、有重点、可追溯的闭环管理动作。关键在于把“谁该有什么权限”落到具体业务线和责任人，避免变成填表式检查。
明确复核范围与触发条件
聚焦真正影响安全边界的权限点，不泛泛而谈：
- 人员变动类：员工离职、转岗、借调——HR系统同步后24小时内必须完成账号禁用、组移出、密钥清理
- 角色过期类：临时权限（如故障排查、项目支持）超过72小时未申请延期，自动失效并触发告警
- 行为异常类：某用户连续30天未登录，或近7天无任何sudo操作，标记为“疑似闲置”，进入人工确认流程
- 高权组成员类：wheel、sudo、docker等组，每季度比对成员列表与在职名单，输出差异清单
分层设定复核周期
不同风险等级的账户与权限，复核频率应拉开差距：
- 超级管理员账户：每月人工抽检10% + 日志回溯（重点看su/sudo切换路径、执行命令及时间上下文）
- sudoers配置项：每日自动化扫描（visudo -c校验语法 + grep提取ALL/NOPASSWD/无路径限定等高风险行）
- 普通用户账户：每季度批量比对lastlog -b 90 + /etc/passwd中shell类型 + /etc/shadow密码字段状态
- SSH密钥与API Token：纳入Git仓库管理的密钥清单，每60天强制轮换并验证有效性（如ssh-keygen -l -f判断密钥强度与创建时间）
用脚本固化检查逻辑，输出可执行结论
复核结果不能只说“发现5个问题”，要直接告诉运维下一步做什么：
- 发现user_test账户shell为/bin/false但shadow中有有效密码 → 执行passwd -l user_test
- 检测到/usr/local/bin/backup.sh被设为SUID且属主为普通用户 → 标记红色风险，确认是否业务必需；否则执行chmod u-s /usr/local/bin/backup.sh
- 某sudo规则允许NOPASSWD: /bin/rm → 黄色预警，建议替换为带参数白名单的专用脚本（如/bin/rm -f /tmp/*）
- 每次运行脚本自动记录时间戳、变更前状态、处置动作及执行人，存入统一审计日志目录（如/var/log/perm-audit/）
嵌入运维日常节奏，避免流于形式
让复核成为“顺手做的事”，而不是额外负担：
- 通过cron在每日凌晨2:15执行轻量级检查（find + awk + lastlog组合），结果邮件推送至运维+安全接口人
- 每月第一个工作日，由值班工程师抽检10%的告警项，验证脚本准确性，并更新白名单（例如：某业务账户确需SUID，加入例外注释）
- 所有复核脚本托管在内部Git仓库，每次修改附带注释说明原因（如“新增检测SSH密钥创建时间超90天”）
