最小权限管理下的账号审计与清理需遵循“先看清、再动手、后验证”原则：分层分类摸清账号，删前保留家目录，加固配置并定期复查存疑项。
最小权限管理下的账号审计与清理，核心是“先看清、再动手、后验证”。不盲目删，也不放任不管，重点在于识别真实用途、控制影响范围、保留回退能力。
一、摸清系统里到底有哪些账号
别只看/etc/passwd里有多少行，要分层分类看：
- 用awk -F: '$3 列出所有系统账号（UID 1–999），重点关注games、sync、shutdown、lp这类默认存在但极少启用的账号
- 查登录能力：getent shadow | awk -F: '$2 ~ /^[!*]$/ {print $1}'找出密码被锁或禁用的账号；再用lastlog -u 用户名确认最近半年是否有人登录过
- 看主目录和活跃痕迹：ls -ld /home/用户名检查是否存在；sudo find /var/log -name "*log" -mtime -90 -exec grep -l "用户名" {} \;查近期日志中是否调用过该账号
二、禁用优先，删除谨慎
对疑似多余账号，先停用、观察、再决定删不删：
- 锁定密码：sudo passwd -l 用户名，让其无法认证登录
- 禁用交互式 Shell：sudo usermod -s /usr/sbin/nologin 用户名（注意不是/sbin/nologin，新版系统路径可能不同）
- 设为立即过期：sudo chage -E 0 用户名，从认证层面彻底阻断
- 观察1–2天：sudo journalctl -u systemd-logind --since "2 days ago" | grep 用户名，确认无服务报错或登录尝试
三、删除前必须交叉验证
真要删，得确保它不被任何地方悄悄引用：
- 查服务依赖：grep -r "用户名" /etc/systemd/system /usr/lib/systemd/system 2>/dev/null
- 查定时任务：sudo crontab -u 用户名 -l 2>/dev/null，以及/etc/cron.d/下所有文件
- 查组归属：id 用户名，再确认该用户所属组是否还有其他成员（getent group 组名）
- 删用户时先不加-r：sudo userdel 用户名，家目录留着，手动检查完再删
四、加固与留痕是闭环关键
清理不是终点，而是权限治理的起点：
- 备份配置：sudo cp /etc/{passwd,shadow,group} /root/etc-backup-$(date +%F)
- 锁定敏感文件（可选）：sudo chattr +i /etc/passwd /etc/shadow，防止误改（需解锁才能再编辑）
- 定期复查：sudo awk -F: '$3 >= 1000 && $3 != 65534 {print $1}' /etc/passwd列出所有普通用户，每月人工核验一次必要性
- 标记存疑项：在/etc/passwd对应行末加注释（如# legacy backup script, last seen 2026-08-12），不删先记
