服务器账户生命周期管理是覆盖“创建—使用—变更—注销”全环节的闭环机制，强调自动化、可审计、最小权限与责任到人，并通过工具链固化策略。
服务器账户生命周期管理不是一次性配置，而是一套覆盖“创建—使用—变更—注销”全环节的闭环机制。核心在于把人工操作变成可审计、可触发、有时效的自动化流程，同时守住最小权限和责任到人的底线。
账号创建阶段：规范命名与自动审批
新账号不能随建随用。必须强制执行以下动作：
- 命名统一采用“角色+部门+编号”格式（如dev_ops_001），禁用root、admin等高危默认名；
- 每个账号绑定唯一责任人（姓名、部门、手机号），录入台账系统并关联HR工号；
- 临时账号（如第三方运维）必须设置有效期，Linux可用chage -E $(date -d "+30 days" +%Y-%m-%d) username自动到期锁定；
- 创建请求走线上审批流（如Jira或自建表单），审批通过后由脚本自动执行useradd、密码初始化、目录创建及初始权限分配。
使用与变更阶段：定期核查+操作留痕
账号不是建完就放任不管，需建立常态化运营机制：
- 每月扫描lastlog或auth.log，识别90天未登录的“僵尸账号”，自动标记为待清理状态；
- 所有权限调整（增/删/改）必须通过sudo日志或堡垒机操作记录，禁止直接编辑/etc/sudoers或/etc/group；
- 密码策略强制启用：chage -M 90 -m 7 -W 7 username（90天过期、最少7天后可改、提前7天提醒）；
- 敏感操作（如rm -rf、systemctl stop关键服务）需二次确认或触发审批工单。
注销与回收阶段：即时响应+彻底清除
员工离职或转岗是风险高发点，必须做到“人走权清”：
- 对接HR系统，当员工状态变更为“离职”时，自动触发账号禁用脚本（usermod -L username）；
- 禁用后3个工作日内完成权限回收：移出所有用户组、撤销sudo权限、清空SSH公钥、删除家目录备份；
- 正式注销前执行最终审计：检查该账号是否仍持有数据库连接、API密钥、云平台子账号等衍生权限；
- 长期不用的测试账号、项目账号，设定统一失效策略（如创建满180天且无登录记录则自动归档或删除）。
支撑机制：工具链与策略固化
流程落地离不开技术支撑：
- 用Ansible或SaltStack统一部署账号策略（密码复杂度、会话超时、失败锁定次数）；
- 将/etc/passwd、/etc/shadow、/etc/sudoers纳入Git版本管理，每次变更留痕可追溯；
- 在堡垒机或跳板机上启用操作录像+命令审计，所有sudo行为实时同步至SIEM平台；
- 每季度生成《账号健康度报告》：含活跃率、权限冗余率、过期未处理账号数等指标，推动闭环整改。
