linux本身不原生支持rbac，但可通过sudo、selinux与系统组四层协同构建职责清晰、权限可控、可审计的类rbac体系：以具体任务定义角色（如db_operator）、用sudoers精准绑定命令、selinux约束进程行为、配合定期审计与权限回收形成闭环治理。
Linux 本身不原生支持 RBAC，但通过合理组合 sudo、SELinux 和系统组机制，完全可以构建出职责清晰、权限可控、可审计的类 RBAC 体系。核心不是套用概念，而是让“谁该做什么”在系统层面有明确、隔离、可验证的表达。
角色定义要具体、可执行
避免使用“运维”“开发”这类模糊称谓。应按实际任务抽象角色，例如：
• db_operator：仅负责数据库查询与备份
• log_auditor：只读访问 /var/log/ 下指定日志文件
• backup_admin：运行特定备份脚本，禁止交互式 shell
每个角色对应一组最小必要命令和路径，不叠加、不泛化。用 sudo -lU username 检查实际权限，是验证角色是否“真窄”的第一道关。
用 sudoers 实现角色-命令精准绑定
/etc/sudoers.d/ 下为每个角色建独立文件（如 rbac-dboperator），配合别名与限制提升可维护性：
• 定义命令集：Cmnd_Alias DB_OP = /usr/bin/mysql, /usr/bin/mysqldump, /opt/scripts/db-check.sh
• 绑定组与命令：%dboperator ALL=(appdb) NOPASSWD: DB_OP
• 加强安全约束：Defaults env_reset, requiretty, !authenticate, timestamp_timeout=3
• 排除危险参数：!/bin/bash, !/usr/bin/su, !/usr/bin/sh -c
用 SELinux 补足进程级行为控制
sudo 只管“能不能执行”，SELinux 管“执行后能干什么”。启用 enforcing 模式后：
• 为备份脚本标记专用类型：semanage fcontext -a -t backup_exec_t '/opt/scripts/backup\.sh'; chcon -t backup_exec_t /opt/scripts/backup.sh
• 限定进程域访问范围，例如让 backup_agent_t 只能读 backup_t 类型文件、写 var_log_t
• 每日检查拒绝日志：ausearch -m avc -ts today | audit2why，及时收敛策略，不靠 permissive 模式绕行
建立闭环的权限治理习惯
RBAC 不是一次配置，而是一套持续动作：
• 用户转岗或离职时，从对应组（如 %log_auditor）中移除账号，而非仅锁账户
• 每月运行 getent group dboperator 核对成员，清理闲置账号
• 每周验证 sudoers 语法：sudoers -c /etc/sudoers.d/rbac-*
• 记录角色生命周期表：创建时间、负责人、上次评审日期、关联用户列表
