核心运行时环境权限最小化是将“能做什么”精确收敛到“必须做什么”，覆盖系统层、服务层、用户层和审计层四环节，每步需可验证、可回滚、可追溯：一、系统层最小安装、禁用非必要服务与内核模块、启用user_ns/seccomp等安全配置；二、服务层为进程创建专用低权用户、用capability替代root、启用protectsystem/privatetmp等隔离；三、用户层禁root远程登录、一人一账、sudo精确到命令级、显式拒绝shell访问；四、审计层启用sudo日志、定期核查权限、扫描可写文件与高权账户、验证进程真实运行身份。
核心运行时环境的权限最小化，不是删功能、降体验，而是把“能做什么”精确收敛到“必须做什么”。它覆盖系统层、服务层、用户层和审计层四个不可割裂的环节，每一步都需可验证、可回滚、可追溯。
一、系统组件与内核：只留必要，禁用默认风险
宿主机不是容器的陪衬，而是整个信任链的起点。默认安装的组件和服务是攻击面的主要来源。
- 选用最小化安装镜像（如 Rocky Linux 的 “Minimal Install” 或 Ubuntu Server 的 “minimal” 选项），跳过 GUI、打印、蓝牙、邮件代理等无关组件
- 禁用非必要 systemd 服务：
systemctl disable --now avahi-daemon cups rpcbind ModemManager，再用systemctl list-unit-files --state=enabled交叉核对 - 关闭内核模块自动加载：
echo 'kernel.modules_disabled = 1' >> /etc/sysctl.conf && sysctl -p（执行前确认所有必需模块已静态编译或手动加载） - 启用关键安全配置：确保
CONFIG_USER_NS=y、CONFIG_SECCOMP=y、CONFIG_CGROUPS=y已启用；若业务无需 eBPF，设CONFIG_BPF_SYSCALL=n
二、服务进程：专用账户 + 能力裁剪 + 命名空间隔离
守护进程不该是 root 的影子，而应是职责明确、边界清晰的“数字员工”。
- 为每个服务创建独立低权限用户：
useradd -r -s /sbin/nologin nginx_user，并确认其 UID 非 0、家目录为空、shell 为/sbin/nologin - 在 systemd unit 文件中强制指定运行身份：
User=nginx_user、Group=nginx_group，同时设置NoNewPrivileges=true - 用 capability 替代 root 权限绑定低端口：
CapabilityBoundingSet=CAP_NET_BIND_SERVICE，配合setcap 'cap_net_bind_service=+ep' /usr/sbin/nginx - 启用深度隔离：
ProtectSystem=strict（/usr、/boot、/etc 只读）、ProtectHome=true（屏蔽 /home、/root）、PrivateTmp=true、PrivateDevices=true - 限制文件访问范围：
ReadWritePaths=/var/log/nginx /var/cache/nginx，禁止写入 /tmp、/etc、/proc 等敏感路径
三、用户与访问控制：一人一账、命令级授权、零直登 root
权限失控往往始于一个共享账号、一条宽泛的 sudo 规则、一次未清理的离职账户。
- 禁用 root 远程登录：
PermitRootLogin no，并通过sudo systemctl restart sshd生效 - 所有运维人员使用独立账号，创建时加
-r -s /sbin/nologin（系统用户）或-m -s /bin/bash（交互用户），禁止共用 - sudo 授权必须精确到绝对路径的单条命令：
deployer ALL=(www-data) NOPASSWD: /usr/bin/systemctl reload nginx - 显式拒绝高危入口：
Defaults:deployer !shell_noop、! /bin/sh, ! /bin/bash, ! /usr/bin/su - 离职或转岗立即锁定：
sudo usermod -L username，并从/etc/sudoers和/etc/sudoers.d/中彻底移除对应规则
四、持续闭环：日志、扫描、验证缺一不可
最小权限不是配置完就结束，而是每天都在被检验和修正的过程。
- 启用 sudo 审计日志：
Defaults logfile="/var/log/sudo.log"，并确认 rsyslog 或 journald 已采集该路径 - 每月执行
sudo -l -U username核查实际生效权限，注意/etc/sudoers.d/下的覆盖规则可能绕过主配置 - 扫描全局可写文件：
find /etc -type f -perm -o+w 2>/dev/null，重点清理/tmp外的异常项 - 检查高权限账户：
awk -F: '$3 == 0 {print $1}' /etc/passwd，确保仅 root UID 为 0；getent group sudo wheel | grep -v 'root'查是否有非 root 用户在特权组 - 验证服务是否真以低权运行：
ps aux | grep nginx确认 USER 列为nginx_user，且无 root 残留进程
