Linux用户与权限管理实战_Linux多用户安全控制策略

Linux多用户安全控制策略的核心在于贯彻最小权限原则，通过精细化用户与组管理、文件权限控制（含特殊权限位与ACL）、sudo机制授权及定期审计，构建多层次安全防护体系。

最小权限原则要求每个用户或进程仅被赋予完成任务的最低必要权限，避免过度授权。例如：

• 用户创建时：仅分配其职责所需的权限，避免直接加入sudo或wheel组。
• 服务运行：以专属低权限用户身份运行服务（如nginx用户运行Web服务），限制漏洞利用后的横向渗透风险。
• 权限审计：定期检查用户权限分配，移除离职用户账户，禁用遗留账户。

用户与组管理是权限体系的基础，需避免常见陷阱：

• 用户创建：使用useradd命令，指定家目录、Shell及辅助组。例如：useradd -m -s /bin/bash -G developers,webadmin newuserpasswd newuser
• 用户修改：使用usermod追加组（-aG），避免覆盖原有组。例如：usermod -aG docker newuser
• 用户组管理：通过groupadd/groupdel创建或删除组，例如：groupadd app_service_group
• 常见陷阱：

  避免所有用户使用root账户或共享sudo组权限。

  及时禁用离职用户账户，防止未授权访问。

  禁止修改系统默认用户（如root、bin）和组。

文件权限是Linux安全的核心，需结合标准权限、特殊权限位及ACL实现多层次控制：

• 标准rwx权限：

  使用chmod修改权限，例如：chmod 755 /path/to/script.sh # 所有者：rwx；组和其他：r-xchmod u+x,g-w /path/to/file # 所有者添加执行权限，组移除写权限

  使用chown/chgrp修改所有者或组。

• 特殊权限位：

  SUID（SetUID）：文件执行时以所有者权限运行。例如passwd命令需修改/etc/shadow，但自定义脚本滥用SUID可能导致权限提升风险。设置方式：chmod 4755 script.sh # 设置SUID

  SGID（SetGID）：目录下新文件继承父目录组。适用于团队协作目录，例如：chmod 2775 /shared_dir # 设置SGID

  Sticky Bit（SBIT）：目录下用户仅能删除自己的文件。典型场景为/tmp目录：chmod 1777 /tmp # 设置Sticky Bit

• ACL（访问控制列表）：

  当rwx和用户组无法满足需求时，使用ACL实现细粒度控制。例如：setfacl -m u:john:rw file.txt # 用户john读写权限setfacl -m g:dev_team:rx project_data # 组dev_team读执行权限getfacl file.txt # 查看ACL

  ACL增加了管理复杂性，建议优先使用标准权限。

通过sudo机制，普通用户可执行特定管理任务，避免直接共享root密码：

• 编辑sudoers文件：使用visudo命令（自动检查语法错误），例如：# 允许用户devuser重启Apache服务devuser ALL=(ALL) /usr/bin/systemctl restart apache2# 允许dev_ops组执行所有命令（需密码）%dev_ops ALL=(ALL) ALL# 允许dba_team组以oracle用户执行sqlplus（免密码）%dba_team ALL=(oracle) NOPASSWD: /usr/bin/sqlplus
• 安全最佳实践：

  最小权限原则：仅授权必要命令，避免使用ALL。

  避免NOPASSWD：除非必要，否则要求输入密码。

  指定完整路径：防止通过修改PATH环境变量执行恶意命令。

  日志审计：sudo操作会被记录，便于追踪问题。

• 用户审计：检查/etc/passwd和/etc/shadow，移除无用账户。
• 权限审计：使用ls -l或getfacl检查文件权限，确保无过度授权。
• 日志分析：通过/var/log/auth.log或journalctl审查sudo使用记录。

通过以上策略，Linux系统可在多用户环境下实现高效、安全的管理，平衡功能需求与安全风险。