离职员工账号应先锁定再清理，重点清除高权限残留文件和孤儿文件，定期巡检确保无权限漏洞和安全盲区。
离职员工账号不及时清理，容易留下权限漏洞和安全盲区。真正要防的不只是账户本身，而是那些没人认领、却还挂着高权限的文件——它们才是系统里最危险的“幽灵”。
先停用，再确认，最后删除
别一上来就执行 userdel。先用 passwd -l username 锁定密码，或 usermod -s /sbin/nologin username 禁用登录 shell。这一步能立即阻断访问，同时留出观察窗口。
接着做四件事：
- 运行 last username 查看最近登录记录，确认已离线
- 执行 ps -u username -f 检查是否还有进程在运行
- 运行 crontab -u username -l 看是否有未迁移的定时任务
- 用 lsof -u username 确认没有被占用的文件或端口
删账户只是开始，清痕迹才是重点
userdel -r username 能删掉 /etc/passwd、主目录和邮件池，但以下残留项它不会动：
- /var/spool/cron/username：cron 作业文件需手动 rm
- /etc/sudoers 和 /etc/sudoers.d/ 中的授权行，要用 visudo 安全编辑删除
- /root/.ssh/authorized_keys 或其他管理员家目录下的公钥行
- /etc/systemd/system/ 下以用户名命名的服务单元（如 backup-username.service）
- 图形界面残留：/home/username/.local/share/Trash/ 和 .cache/ 目录
扫出孤儿文件，按风险分级处理
用户删了，但磁盘上可能还存着属主 UID 已不存在的文件。用这些命令定位：
- 基础扫描：sudo find / -xdev -nouser -ls 2>/dev/null
- 聚焦高危路径：sudo find /etc /var/log /opt -nouser -type f -ls 2>/dev/null
- 揪出最危险的：sudo find / -xdev -nouser -perm /6000 -ls 2>/dev/null（含 setuid/setgid）
- 排除误报：sudo find / -xdev -nouser -path '/proc' -prune -o -path '/sys' -prune -o -ls 2>/dev/null
发现后别直接删。先用 stat 看创建/修改时间，比对离职时间；再按风险决定动作：
- 统一重置归属：sudo find / -xdev -nouser -exec chown root:root {} + 2>/dev/null
- 清除危险权限：sudo find / -xdev -nouser -perm /6000 -exec chmod u-s,g-s {} + 2>/dev/null
- 确属废弃且无审计价值的，才考虑 -delete 或 rm
建立定期巡检机制
人工清理易遗漏，建议写个简单脚本每月跑一次：
- 检查是否存在无效 UID/GID 的文件：find / -xdev -nouser -o -nogroup 2>/dev/null | head -20
- 列出所有已禁用但未删除的账户：awk -F: '$2 ~ /^\!/ {print $1}' /etc/shadow
- 验证关键账户是否已彻底消失：id username 和 getent passwd username 应无输出
把结果邮件发给运维负责人，形成闭环。不复杂但容易忽略。
