Linux中用ACL精确控制数据库配置文件权限，确保服务用户可读、运维组只读、开发组禁止访问、DBA组读写，同时清除宽松权限并固化策略定期审计。
Linux系统中用ACL（Access Control List）保护数据库配置文件，核心是精确控制读写权限，避免敏感信息泄露或误修改。重点不是简单设为600，而是让特定运维组可读、开发组不可见、DBA可读写，同时不影响服务进程正常加载。
确认配置文件路径与服务运行用户
先明确数据库配置文件实际位置（如MySQL的/etc/my.cnf、PostgreSQL的/var/lib/pgsql/data/postgresql.conf）和服务启动用户（常为mysql、postgres）。ACL规则必须保证该用户能正常读取，否则服务启动失败。
- 用
ps aux | grep postgres确认服务以哪个用户运行 - 用
ls -l /var/lib/pgsql/data/postgresql.conf查看当前权限和属主 - 若属主不是服务用户，先用
chown postgres:postgres修正
启用ACL并设置最小必要权限
确保文件系统支持ACL（ext4/xfs默认开启），且挂载选项含acl。用getfacl检查是否已启用；未启用需在/etc/fstab中为对应分区添加acl参数并重挂载。
- 启用ACL：执行
setfacl -m u:devops:rx /etc/my.cnf，允许devops组只读 - 禁止无关用户：执行
setfacl -m u:developer:--- /etc/my.cnf，显式拒绝开发账号访问 - 保留服务用户权限：ACL不覆盖属主权限，确保属主（如mysql）仍有读权限
限制组权限并禁用全局访问
避免依赖传统group权限位，改用ACL精细管理。移除配置文件的group写权限和other所有权限，并用ACL单独授权可信维护组。
- 清除宽松权限：
chmod 640 /etc/my.cnf（属主读写，组只读，other无权） - 移除默认组继承：
setfacl -x g:: /etc/my.cnf，防止组权限被意外利用 - 为DBA组添加读写：
setfacl -m g:dba:rw- /etc/my.cnf
固化ACL策略并定期审计
ACL规则不会随文件复制或备份自动继承，需在部署流程中固化。同时，ACL易被忽略，应纳入配置巡检项。
- 将
getfacl /etc/my.cnf输出纳入Ansible或SaltStack配置模板校验 - 在CI/CD流水线中加入检查步骤：
getfacl /etc/my.cnf | grep -q 'u:developer:---' - 每月用
find /etc -name "*.cnf" -o -name "postgresql.conf" -exec getfacl {} \;批量审查
ACL不是替代属主和基础权限的方案，而是补充。关键在于服务可用性不打折的前提下，把“谁能看到密码”这件事真正管住。
