服务器最小权限管理是精确控制每个用户、服务、进程的操作范围、条件与资源，按角色切分权限，禁用高危默认账户，配置命令级白名单，绑定访问上下文，并定期审计高危配置。

服务器最小权限管理不是“少给点权限”，而是把每个用户、服务、进程能做什么、在什么条件下做、对哪些资源做，全都收得窄、验得严、管得细。它直接决定攻击者拿到一个普通账户后，能不能提权、横向移动、改配置——这才是入侵防范的真正起点。

权限分配必须按角色切分，不搞“一刀切”

管理员、运维、开发、访客，每类角色的操作范围完全不同，不能全塞进同一个组里。

• Windows上禁用Administrator账户，新建专用管理员账号（如adm-ops-2026
• Linux禁用root远程登录，创建独立运维账户（如opsadmin
• 数据库服务账户只赋予连接和查询权限，不加到wheel或Administrators组
• Web应用运行账户（如www-data或IIS_IUSRS）禁止交互式登录，且主目录设为不可执行

sudo和GPO要配白名单，不是“允许执行所有命令”

给权限不是放行，是精确授权。允许重启nginx不等于允许重启sshd，更不等于允许编辑/etc/passwd。

• Linux用visudo配置命令级白名单：opsadmin ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx, /usr/bin/journalctl -u httpd
• Windows用组策略限制“允许通过远程桌面服务登录”的用户组，仅含PAW终端IP段
• 云环境IAM策略中显式拒绝高危操作，如ec2:StopInstances
• 禁用sudo时的环境变量继承（Defaults env_delete += "PATH HOME"），防止PATH劫持

所有管理入口必须绑上下文，不单靠密码

密码只是第一道门，MFA和访问条件才是锁芯。同一账号从两个地理位置短时间并发提权，该直接拒绝。

• SSH登录强制PAM+U2F硬件密钥，sudo操作额外触发Google Authenticator二次验证
• Windows启用Windows Hello for Business，停用NTLMv1和LM哈希
• Web控制台空闲5分钟自动登出，会话令牌绑定源IP与User-Agent指纹
• API密钥调用关键操作（如修改安全组）时，必须携带临时令牌并校验请求时间戳偏差≤30秒

定期清查高危配置，别等渗透测试才暴露

很多提权路径根本不用漏洞，就藏在默认设置里：未引号的服务路径、AlwaysInstallElevated、可写的服务二进制目录……这些是红队必打点。

• Windows每月运行PowerUp.ps1扫描Unquoted Service Paths、Modifiable Services、Registry AlwaysInstallElevated项
• Linux检查/etc/sudoers中是否含“ALL=(ALL) ALL”这类宽泛规则，替换为具体命令路径
• 审计systemd服务文件权限：find /etc/systemd/system/ -name "*.service" -perm /o+w
• 禁用所有默认共享（C$、ADMIN$、IPC$）、停用Print Spooler和Remote Registry服务