账号一致性校验是验证同一身份在所有服务器上的存在状态、权限边界、认证方式和生命周期是否受控统一，支撑等保2.0三级“统一身份管理”和“最小权限原则”，覆盖特权、服务、业务三类账号，需采集uid、gid、shell、密码字段、sudo规则、ssh密钥哈希及组成员等关键字段横向比对，并按高危、中风险、低风险分级处置，嵌入上线、变更、月度巡检等运维流程实现持续校验。
账号一致性校验不是比对“用户名是否一样”，而是验证同一身份在所有服务器上的存在状态、权限边界、认证方式和生命周期是否受控统一。它直接支撑等保2.0三级中“统一身份管理”和“最小权限原则”的落地，也是避免“一个弱账号拖垮整套系统”的第一道防线。
明确校验范围：三类账号必须全覆盖
只查root或admin远远不够。需覆盖：
- 特权账号：root、sudo组成员、wheel组成员、具有NOPASSWD权限的用户；重点检查其登录方式（密钥/密码）、shell类型（/bin/bash vs /sbin/nologin）、主目录归属及.ssh/config权限
- 服务账号：如nginx、mysql、redis等进程运行所用账号；确认其无交互登录能力（shell设为/sbin/nologin）、home目录不可写、不配置SSH密钥、禁止密码登录
- 业务账号：应用部署人员、运维交接账号、第三方对接账号；需核对其所属组、sudo权限白名单、密码策略（如90天过期）、最近登录时间（识别长期未用但权限过大的僵尸账号）
自动化比对的关键字段
不能只靠grep用户名。每台服务器应采集并归集以下字段做横向比对：
- /etc/passwd中的UID、GID、home路径、shell值
- /etc/shadow中密码字段（!或*表示禁用，$6$开头为SHA-512加密）、最后一次修改时间、过期天数
- sudoers实际生效规则（用sudo -l -n模拟用户权限，避免仅看/etc/sudoers语法）
- ~/.ssh/authorized_keys内容哈希（判断密钥是否被私自增删，而非仅检查文件是否存在）
- 用户所属组全量列表（getent group | grep 用户名），防止通过组继承绕过权限控制
发现不一致后的分级处置逻辑
一致性≠一刀切删除。要按风险等级响应：
- 高危项（立即阻断）：同一业务账号在A服务器有sudo权限、在B服务器无限制执行命令、在C服务器密码为空——需冻结该账号，重置密钥，同步更新所有节点
- 中风险项（72小时内闭环）：某服务账号在3台服务器中2台shell为/bin/bash，1台为/sbin/nologin——统一改为/sbin/nologin，并验证服务是否仍正常运行
- 低风险项（纳入配置审计）：不同服务器上同一账号的密码过期策略分别为60天/90天/180天——统一收敛至90天，通过PAM模块统一管控，不强制改密
持续校验机制设计
一次性扫描意义有限。建议嵌入运维流程：
- 新服务器上线时，自动触发账号基线比对（集成到Ansible playbook或Terraform provisioner）
- 每次账号变更（增/删/改权限）后，由堡垒机调用校验脚本向CMDB回传结果
- 每月自动巡检：对所有存活服务器拉取账号快照，与黄金镜像模板比对，差异项生成工单推送至责任人
