如何建立基于角色权限的 Linux 服务器访问模型-linux运维-PHP中文网

linux无内置rbac，但可通过group+sudo+selinux+acl四层协同构建可用角色模型：group与sudo实现命令级授权，selinux约束进程行为，acl管控文件访问，配合git审计、定期清理与操作审计保障闭环管理。

如何建立基于角色权限的 linux 服务器访问模型

Linux 本身没有内置 RBAC（基于角色的访问控制）机制，但可通过 group + sudo + SELinux（或 AppArmor）+ 文件 ACL 四层协同，构建真正可用、可审计、可维护的角色访问模型。关键不是模仿概念，而是让“角色”在命令执行、进程行为、文件访问三个层面都体现为明确、隔离、可验证的上下文。

用组和 sudo 实现命令级角色绑定

Linux 的 group 是最轻量、最稳定的角色载体，sudo 是最直接的命令授权工具。二者结合，能快速落地最小权限原则：

为每个职责创建专用系统组，命名体现业务动作，如 db-backup、log-rotator、config-deployer，避免使用 admin、dev 等宽泛名称
所有 sudo 规则统一放在 /etc/sudoers.d/ 下，按角色命名文件（如 rbac-dbbackup），便于版本管理和灰度上线
禁用 ALL 和交互式 shell 权限：不许出现 /bin/bash、/usr/bin/sh、!/usr/bin/vi 等通配或绕过限制的写法
用 Cmnd_Alias 定义完整操作链，例如：
Cmnd_Alias DB_BACKUP = /usr/bin/mysqldump, /bin/gzip, /usr/bin/aws s3 cp /var/backups/* s3://prod-db/
再绑定：
%db-backup ALL=(root) NOPASSWD: DB_BACKUP
定期运行 sudo -l -U username 校验用户实际可用命令，作为权限基线检查手段

用 SELinux 补足进程级行为约束

sudo 只管“能不能运行”，SELinux 管“运行后能碰什么”。两者叠加，才能防止命令被滥用或越权访问：

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

确保 SELinux 处于 enforcing 模式：setenforce 1，sestatus 输出应为 enabled + enforcing
不建议新手自定义角色，优先复用 staff_r（普通员工）、sysadm_r（系统管理员）等预置角色
通过 semanage login -a -s staff_u -r s0-s0:c0.c1023 username 将 Linux 用户映射到 SELinux 用户，实现登录即角色定界
对高危操作脚本（如备份、日志清理）启用专用域（domain），例如 backup_agent_t，并用 sesearch 验证其仅能读 backup_t 类型文件、不能访问 etc_t 或 shadow_t
遇到拒绝日志（avc denial）时，用 audit2why -a 分析原因，精准添加策略，而非切换 permissive 模式

用文件 ACL 和目录继承解决资源级细粒度需求

当多个角色需协作访问同一目录（如部署目录 /opt/app），但各自只应修改特定子路径时，传统 group 权限不够用，ACL 是更自然的解法：

启用默认 ACL 支持：mount -o remount,acl /（或在 /etc/fstab 中添加 acl 选项）
为协作目录设置默认 ACL，使新文件自动继承权限：
setfacl -d -m g:deployer:rwx /opt/app
setfacl -d -m g:auditor:r-x /opt/app/logs
对敏感配置文件单独设限，例如 /etc/myapp/secrets.conf 仅允许 app-owner 组读取：
setfacl -m g:app-owner:r-- /etc/myapp/secrets.conf
用 getfacl /path 审计当前 ACL 设置，避免隐式权限叠加

配套机制保障角色模型长期可控

静态配置只是起点，RBAC 模型的生命力在于闭环管理：

所有 /etc/sudoers.d/ 文件纳入 Git 仓库，CI 流水线自动校验语法（visudo -c）并阻断非法提交
每季度执行账号清理脚本：比对 /etc/group 成员与 HR 系统离职名单，自动移除滞留用户
对数据库导出、密钥轮换等敏感操作，强制二次认证：在 sudoers 中加入 auth_required，触发 TOTP 或 YubiKey 验证
启用 sudo 输入输出审计：Defaults log_input, log_output, requiretty，确保每次执行都记录 stdin/stdout，供事后回溯