自动化清理账号权限是通过脚本+策略实现最小权限的可重复、可验证流程：先识别高风险账号，再批量禁用或降权，最后用审计日志闭环验证，全程留痕、可回退。
自动化清理账号权限不是一键删光，而是用脚本+策略把“最小权限”变成可重复、可验证的流程。核心思路是：先识别风险账户，再按规则批量禁用或降权，最后用审计日志闭环验证——整个过程不依赖人工逐个判断，但每一步都留痕、可回退。
一、自动识别高风险账号
用标准命令组合快速筛出违反最小权限原则的账号，无需安装额外工具：
- 查所有 UID ≥1000 的普通用户（含可能废弃的）：
awk -F: '$3 >= 1000 && $7 != "/usr/sbin/nologin" {print $1}' /etc/passwd - 查密码已锁定但 shell 仍为 /bin/bash 的账号（易被绕过）：
awk -F: '$2 ~ /^\!/ && $7 == "/bin/bash" {print $1}' /etc/shadow - 查近90天无登录记录的活跃用户：
lastlog -b 90 | awk '$NF == "Never" {print $1}'
把这些结果输出到临时文件（如 /tmp/risky-users.txt），作为后续操作依据。
二、批量执行最小化动作（禁用优先）
禁用比删除更安全，适合自动化。以下脚本片段可直接保存为 minimize-users.sh 并运行（建议先加 echo 测试）：
while read user; do [ -z "$user" ] && continue echo "Disabling $user..." sudo usermod -s /usr/sbin/nologin "$user" sudo usermod -L "$user" sudo chage -E 0 "$user" done <p>说明：这组操作让账号无法登录、密码失效、认证过期，但保留其家目录和系统记录，不影响任何服务调用。</p><h3>三、自动化审计与白名单保护</h3><p>不能只清理，还要防止误伤。在执行前建立白名单机制：</p>
- 创建保护列表：echo -e "root\nwww-data\npostgres\nsshd" > /etc/minimal-access/whitelist.txt
- 过滤掉白名单用户：
comm -23 /tmp/to-process.txt - 每次清理后自动生成审计报告：
sudo awk -F: '$3>=1000 {print $1,$7}' /etc/passwd | grep -v nologin > /var/log/minimal-access-report-$(date +%F).log
四、配合 sudo 权限自动收敛
账号清理后，同步收紧 sudo 权限。用脚本检查并修复常见高危配置：
- 查所有允许无密码执行任意命令的用户：
sudo grep -r 'NOPASSWD.*ALL' /etc/sudoers* 2>/dev/null - 自动注释掉非白名单用户的宽泛规则（需提前定义运维角色组）：
sudo sed -i '/^[^#].*ALL=(ALL).*ALL$/s/^/# /' /etc/sudoers.d/* - 为指定组（如 %ops）只开放明确命令：
echo '%ops ALL=(root) NOPASSWD: /usr/bin/systemctl status *, /usr/bin/journalctl -u *' | sudo tee /etc/sudoers.d/ops-limited
不复杂但容易忽略：所有自动化脚本首次运行前，务必手动备份关键文件：
sudo cp /etc/{passwd,shadow,group,sudoers} /root/etc-backup-$(date +%F)/
