linux权限管理核心是只授予绝对必需的权限，多一分即风险：禁用root登录、按角色建低权账户、sudo命令级白名单授权、文件目录严格属主与权限（如600/755）、服务降权运行，并通过auditd等持续审计验证。
Linux 权限管理的核心不是“怎么给权限”，而是“怎么不给多余权限”。最小特权原则（Least Privilege）不是技术技巧，而是一种安全习惯：每个用户、进程、文件，只拥有完成其职责所绝对必需的权限，多一分都可能成为突破口。
用户账户：禁用 root 登录，按需授权 sudo
root 远程登录是绝大多数入侵事件的第一入口。必须禁用它，改用普通用户 + 精细 sudo 授权的方式管理。
- 执行 sudo passwd -l root 锁定 root 密码，并在 /etc/ssh/sshd_config 中设 PermitRootLogin no
- 为运维人员创建独立账号（如 ops），不加入 wheel 或 sudo 组
- 用 visudo 编辑 /etc/sudoers，按服务或任务授权，例如：
ops ALL=(nginx) /usr/bin/systemctl restart nginx —— 只允许重启 Nginx，不能执行其他命令 - 清理系统默认账户：运行 awk -F: '$3 查看低 UID 账户，对 games、lp、ftp 等无用账户执行 sudo userdel -r
文件与目录：拒绝 777，按角色设权
权限数字只是表层，关键是属主、属组与实际使用场景是否匹配。写权限开放到“others”（即最后一位）往往是后门温床。
- Web 根目录（如 /var/www/html）应属 www-data:www-data，权限设为 755（目录）和 644（文件），禁止写入
- 上传目录（如 /var/www/uploads）可设为 750，属组为 www-data，再将可信维护用户加入该组
- 敏感文件必须严格限制：chmod 600 /etc/shadow /etc/gshadow；chmod 440 /etc/sudoers；chmod 644 /etc/passwd /etc/group
- 关键配置文件（如 /boot/grub2/grub.cfg）可用 chattr +i 设置不可变属性（更新内核前需临时移除）
服务进程：降权运行，能力白名单化
服务不应以 root 启动后再降权，而应在启动之初就以最小身份运行，并显式声明所需能力。
- 在 systemd unit 文件（如 /etc/systemd/system/nginx.service）中明确指定：
User=nginx
Group=nginx
NOLOGIN shell（/sbin/nologin） - 若需绑定 80/443 端口，不用 root，改用 capability：
CapabilityBoundingSet=CAP_NET_BIND_SERVICE
AmbientCapabilities=CAP_NET_BIND_SERVICE - 启用沙箱防护：
ProtectSystem=strict（/usr、/boot、/etc 只读）
ProtectHome=true（屏蔽 /home、/root）
PrivateTmp=true（隔离临时目录）
NoNewPrivileges=true（禁止 execve 提权） - 禁用高危 capability：CapabilityBoundingSet=~CAP_SYS_ADMIN CAP_SYS_PTRACE CAP_AUDIT_WRITE
持续验证与审计：让最小权限真正落地
配置不是一劳永逸的。最小权限只有被持续检查、记录和修正，才不会在更新、部署或人为操作中被绕过。
- 定期扫描过度授权：
find /etc -type f -perm -o+w 2>/dev/null（找其他用户可写的配置文件）
grep -r 'ALL=(ALL)' /etc/sudoers* 2>/dev/null（查宽泛 sudo 规则） - 启用 auditd 监控关键路径：
在 /etc/audit/rules.d/privileged.rules 中添加：
-w /etc/sudoers -p wa -k sudoers_change
-w /etc/passwd -p wa -k user_change - 确保日志留存：配置 rsyslog 将 auth、authpriv 日志发送至远程日志服务器，防止本地日志被篡改删除
- 每次变更前备份原文件，所有加固操作保留回滚脚本，例如：cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.$(date +%Y%m%d)
