核心是通过组解耦“人”与“权限”：用户归属主组（如secadm），主组决定文件属组与umask；共享目录设setgid+umask 002保障继承；sudoers按组精确授权绝对路径命令；敏感目录用acl限制；多主机权限由jumpserver集中管控并自动同步。
配置服务器账户分组与角色管理，核心是把“人”和“权限”解耦：用户只归属组，组绑定角色，角色决定能做什么。不是给每个人单独设权限，而是通过组这一中间层实现批量、可追溯、易回收的管控。
按职能划分逻辑组并规范归属关系
先梳理实际工作流，再定义组——比如sysadm（系统运维）、secadm（安全策略）、auditadm（日志只读）、dbadm（数据库专管）。每个用户只加入一个主组（usermod -g secadm alice），避免权限混杂；附加组仅用于跨职能临时协作（如usermod -aG dbadm alice）。
- 主组决定新建文件默认属组和umask行为，必须严格匹配角色定位
- 禁止用户同时属于sysadm和secadm这类高危组合，从源头阻断越权可能
- 组名用小写字母+短横线（如web-deploy、log-reader），避免歧义和兼容性问题
用目录setgid + 统一umask保障协作一致性
对共享工作目录（如/srv/app-staging）启用组继承机制：chgrp sysadm /srv/app-staging && chmod 2775 /srv/app-staging。这样所有在该目录下新建的子目录自动继承sysadm组且带setgid位，新建文件也自动归属sysadm组。
- 配合全局umask 002（写入/etc/login.defs或PAM session模块），确保文件默认664、目录775
- 验证方式：普通用户执行touch test && ls -l test，确认属组正确、组位含w
- 敏感目录如/etc/nginx单独用setfacl限制，例如setfacl -m g:secadm:rx /etc/nginx
通过sudoers按组精确授权执行能力
sudo不是放行shell，而是放行具体命令。在/etc/sudoers中为每组定义最小必要动作：
- sysadm ALL=(ALL) NOPASSWD: /usr/bin/systemctl start nginx, /bin/mount
- secadm ALL=(ALL) NOPASSWD: /usr/sbin/iptables, /usr/bin/ssh-keygen -t rsa
- auditadm ALL=(ALL) NOPASSWD: /usr/bin/journalctl -u sshd, /bin/grep -r "authentication failure" /var/log/secure
禁用通配符（如/usr/bin/*）、不写ALL=(ALL) ALL，所有路径用绝对路径，拒绝Shell逃逸。
集中化管理多主机权限与生命周期
单台服务器靠手工配置可行，但10台以上必须引入集中层。推荐用Jumpserver或自建LDAP+SSSD方案：
- 在堡垒机中创建“中间件组”，统一授权访问全部应用服务器
- 用户入职时自动加入对应组，离职时移出即失效，无需逐台删账号
- 支持嵌套组（如prod-db-admin隶属prod-admin），权限随层级自动收敛
- 所有sudo操作强制记录到/var/log/sudo.log，并同步至SIEM平台
