账号全生命周期防卫需覆盖创建、使用、变更到退出各环节，以动态资产管理为核心：创建时最小权限起步、禁用默认账户、强密码策略、禁共享账号、ssh密钥认证；使用中限制登录源、会话超时、mfa及fail2ban实时阻断；变更与审计阶段强制sudo日志、身份验证改密、定期清理休眠账号。
账号全生命周期防卫，不是只管“创建”和“删除”，而是从账号诞生、使用、变更到退出的每一步都嵌入安全控制。核心是把账号当作动态资产来管理，而非静态配置项。
账号创建阶段：源头设防
新账号必须遵循最小权限起步原则，杜绝“先给满权、再慢慢收”的惯性操作。
- 禁用默认账户：重命名或锁定root、Administrator等内置高危账号，避免成为暴力破解靶心
- 强制强密码策略：Linux下通过/etc/login.defs设定PASS_MIN_LEN 12、PASS_MAX_DAYS 90；Windows中启用“密码必须符合复杂性要求”并设最小长度为12
- 禁止共享账号：每个运维人员独立账号，不共用、不代登录，确保行为可追溯
- SSH场景额外加固：新建账号默认禁用密码登录，仅允许密钥认证，并在sshd_config中明确PermitRootLogin no与PubkeyAuthentication yes
账号使用阶段：动态管控
账号活跃期是风险最高时段，需叠加访问控制、会话约束与行为审计。
- 限制登录来源：通过AllowUsers admin@192.168.1.*（SSH）或Windows组策略中的“登录工作stations”白名单，缩小可接入IP范围
- 设置会话超时：Linux用TMOUT=900（15分钟无操作自动登出）；Windows通过gpedit.msc → 远程桌面会话时间限制配置空闲断连
- 启用多因素认证（MFA）：Linux可集成Google Authenticator或YubiKey；Windows建议启用Microsoft Authenticator或硬件安全密钥
- 实时阻断异常行为：部署Fail2ban监控/var/log/auth.log，对5分钟内连续5次失败登录的IP自动封禁1小时
账号变更与审计阶段：全程留痕
权限调整、密码修改、登录记录等操作本身必须受控且可查。
- 所有sudo操作强制日志：确认/etc/sudoers中含Defaults logfile="/var/log/sudo.log"，并开启rsyslog远程转发至SIEM平台
- 密码修改强制验证身份：Linux下用pam_pwquality.so阻止弱密码；Windows中启用“交互式登录：不显示上次用户名”，防止撞库复用
- 定期清理休眠账号：脚本扫描90天未登录用户（lastlog | awk '$NF=="**Never logged in**" || $NF），自动锁定或通知负责人确认
- 权限变更审批留痕：关键账号权限提升（如加入sudo组）需走工单流程，日志中记录操作人、时间、依据及审批ID
账号退出阶段：零残留销毁
离职、调岗、项目结束等场景下，账号处置必须及时、彻底、可验证。
- 一键禁用+归档：执行usermod -L username（Linux）或Disable-ADAccount（Windows AD），同时导出该账号历史登录与sudo日志存档
- 密钥同步清理：不仅删账号，还要检查~/.ssh/authorized_keys、/etc/ssh/sshd_config中是否残留公钥或AllowUsers规则
- 第三方系统解绑：检查数据库、Git、CI/CD平台、云IAM中是否仍关联该账号，批量解除授权
- 自动化回收机制：对接HR系统API，当员工状态变更为“离职”时，自动触发账号锁定与权限回收流水线
