银河麒麟系统中让特定软件仅限普通用户运行，需清除setuid位、移交目录所有权至业务用户、限制root执行权限，并验证进程归属为普通用户。
银河麒麟系统中让特定软件仅限普通用户运行，核心是剥夺root权限、确保非特权账户可执行、同时阻止root误用——这在ElasticSearch等安全敏感服务部署中是强制要求。
移除软件二进制的setuid位
很多预编译软件（如elasticsearch、nginx）默认带setuid位，root运行时会以root身份启动进程，违反最小权限原则。必须清除该标志，否则普通用户即使有执行权，启动后仍可能因权限过高被内核拒绝或触发安全框架拦截。
执行命令：sudo chmod u-s /usr/local/elasticsearch/bin/elasticsearch。
验证是否生效：ls -l /usr/local/elasticsearch/bin/elasticsearch，确认输出权限字段第三位不是【s】（应为-rwxr-xr-x而非-rwsr-xr-x）。
将软件目录所有权完全移交普通用户
root拥有目录会导致普通用户无法写入日志、临时文件或配置缓存，运行必然失败。必须将整个安装路径所有者和所属组都设为业务用户，且递归生效。
执行命令：sudo chown -R elasticsearch:elasticsearch /usr/local/elasticsearch。
注意：若用户elasticsearch尚未创建，请先运行sudo adduser --disabled-password --gecos "" elasticsearch，再执行上一步。
设置可执行权限但禁止root调用
方法一：修改文件权限屏蔽root执行能力
执行命令：sudo chmod 750 /usr/local/elasticsearch/bin/elasticsearch。
此时只有所有者（elasticsearch）和同组用户可执行，root因不属于该组而被拒绝——这是最硬性的隔离手段。
方法二：用ACL精确控制访问
执行命令：sudo setfacl -m u:root:--- /usr/local/elasticsearch/bin/elasticsearch。
这条指令直接抹除root对该文件的任何权限，比chmod更精准，且不影响其他用户组权限。
验证普通用户能否独立启动
第一步：切换到目标用户：su - elasticsearch。
第二步：进入安装目录：cd /usr/local/elasticsearch。
第三步：尝试启动：bin/elasticsearch -d -p pid。
第四步：检查进程归属：ps -eo user,comm,args | grep elasticsearch，确认USER列为【elasticsearch】而非root。
