如何设置服务器权限最小化启动参数-安全-PHP中文网

服务器没有“权限最小化启动参数”，真正需落实的是：一、linux服务以专用低权限用户和受限capabilities运行；二、sql server用-f参数最小配置启动用于故障修复；三、数据库账号按需授权并禁用高危权限；四、windows服务使用nt service等最低特权账户。

如何设置服务器权限最小化启动参数

服务器“权限最小化启动参数”这个说法并不准确——服务器本身没有叫“权限最小化”的启动参数。真正需要关注的，是两类实践：
一是以最小必要权限运行服务进程（即权限最小化）；
二是以最小配置启动服务（如 SQL Server 的 -f 参数），用于故障恢复，不是权限控制手段。

下面分场景说清楚怎么做：

一、Linux 服务以最小权限运行（非 root 启动）

关键不是改启动参数，而是改服务运行身份和能力限制：

禁止 root 运行：修改 systemd unit 文件（如 /etc/systemd/system/myapp.service），指定 User= 和 Group=
```
[Service]
User=appuser
Group=appgroup
```

禁用特权能力：用 CapabilityBoundingSet 剥离不需要的 Linux capabilities

CapabilityBoundingSet=CAP_NET_BIND_SERVICE CAP_SETUID CAP_SETGID
# 其他如 CAP_SYS_ADMIN、CAP_DAC_OVERRIDE 等默认不包含，更安全

限制文件系统访问：启用 ProtectSystem=strict 和 ProtectHome=yes

ProtectSystem=strict   # /usr、/boot、/etc 只读
ProtectHome=yes        # /home、/root、/run/user 不可写

禁用环境变量继承：加 RestrictSUIDSGID=yes 和 NoNewPrivileges=yes

✅ 实操建议：先用 systemctl cat servicename 查看当前配置，再新建 drop-in 文件（如 /etc/systemd/system/servicename.d/10-secure.conf）覆盖加固项，最后 systemctl daemon-reload && systemctl restart servicename。

二、SQL Server 以最小配置启动（`-f` 参数）

这是诊断性启动方式，用于修复无法正常启动的问题：

iA Presenter

iA Presenter是一款以文字写作驱动幻灯片生成的演示文稿工具。

下载

启动命令示例（Windows）：

net stop MSSQLSERVER
sqlservr.exe -f -m"SQLCMD"  // 单用户模式 + DAC 连接名

启动命令示例（Linux）：

sudo systemctl stop mssql-server
sudo -u mssql /opt/mssql/bin/sqlservr -f

此时自动进入单用户模式，禁用远程连接、预读、CHECKPOINT、启动存储过程等；
必须用 sqlcmd 或 DAC 连接（普通连接会被 SQL Server Agent 占用阻塞）；
进入后执行 sp_configure 调整错误配置，再 SHUTDOWN WITH NOWAIT，重启服务。

三、MySQL / PostgreSQL 用户级权限最小化（非启动参数）

数据库服务本身通常以固定系统用户（如 mysql、postgres）运行，重点在账号权限控制：

创建专用账号，只授必要权限：

CREATE USER 'appuser'@'10.10.20.%' IDENTIFIED BY 'strong_pwd';
GRANT SELECT, INSERT ON mydb.orders TO 'appuser'@'10.10.20.%';
FLUSH PRIVILEGES;

禁用高危权限（SUPER、FILE、SHUTDOWN）；

MySQL 8.0+ 推荐用 Role 统一管理：

CREATE ROLE 'reporter';
GRANT SELECT ON sales.* TO 'reporter';
GRANT 'reporter' TO 'analyst'@'%';

四、Windows 服务以最低特权账户运行（如 SQL Server 扩展）

Azure Arc 支持的 SQL Server 扩展已提供内置方案：

启用后，服务自动切换为 NT SERVICE\SqlServerExtension 账户；
该账户仅被授予：
- 读写自身日志目录和配置文件路径；
- 在 SQL Server 中以最小登录权限连接（如仅 db_datareader）；
- 不具备 sysadmin 或本地管理员权限；
需确保 SQL Server 服务账户本身已是 sysadmin，否则扩展无法初始化。