自动化巡检脚本生成等保三级身份合规报告，需覆盖“身份鉴别”“访问控制”“安全审计”三大控制点，映射至GB/T 22239-2019条款8.1.2.1–8.1.2.3，输出结构化JSON证据并渲染为含封面、分项表格、整改建议及附件的正式报告。
直接用自动化巡检脚本生成等保三级身份合规报告，核心在于：脚本必须覆盖等保三级中“身份鉴别”“访问控制”“安全审计”三大控制点，并将结果映射到《GB/T 22239-2019》条款，输出结构化、可审计的证据清单。
明确等保三级身份相关测评项
等保三级对身份管理的关键要求集中在以下条款，脚本需逐条验证：
- 8.1.2.1 身份鉴别：检查是否采用两种及以上组合鉴别技术（如口令+动态令牌/生物特征），且口令复杂度、生命周期、错误登录限制是否达标；
- 8.1.2.2 访问控制：验证是否存在最小权限策略，用户角色与系统资源权限是否匹配，特权账号（如root、admin）是否受控；
- 8.1.2.3 安全审计：确认关键操作（登录、权限变更、敏感数据访问）是否被记录，日志是否包含时间、用户、事件类型、结果等必要字段，且保存不少于180天。
设计可落地的巡检脚本逻辑
不依赖人工截图或手动比对，脚本应具备环境适配性与证据采集能力：
- 针对Linux服务器：用bash + awk + grep读取
/etc/pam.d/common-password验证口令策略，调用getent group和getent passwd分析用户-角色关系，解析/var/log/secure抽样审计日志字段完整性； - 针对Windows主机：通过PowerShell调用
Get-LocalUser、Get-ADUser（域环境）、Get-Acl检查账户状态与权限分配，用Get-WinEvent筛选4624/4672等关键事件ID验证登录与提权行为记录； - 统一输出JSON格式结果，每个检查项包含：
control_item（如“8.1.2.1”）、status（pass/fail/na）、evidence（命令+截取的原始输出片段）、remark（不合规时说明原因）。
自动生成报告并满足等保交付要求
脚本执行后，用Python或Jinja2模板将JSON结果渲染为Word/PDF报告，确保含以下要素：
- 封面注明系统名称、测评日期、脚本版本及运行环境；
- 按等保条款分章节，每项附“检查方法”“实际结果”“判定依据”三栏表格；
- 失败项单独汇总为“整改建议表”，注明对应配置路径（如
/etc/security/pwquality.conf）和修复命令（如authconfig --enablefaillock）； - 附加原始日志抽样页（带时间戳和行号）、用户权限矩阵图（CSV导出可查），作为备查附件。
注意事项与常见坑点
避免脚本“跑通即交付”，需关注真实合规场景：
- 特权账号不能只查用户名，要确认其是否实际启用（如
passwd -S root显示LK表示锁定）； - 双因子鉴别需验证后端是否真正启用（如Google Authenticator配置是否在PAM链中生效），而非仅检查模块文件存在；
- 日志保存周期检查不能只看logrotate配置，要实测
find /var/log -name "*.log" -mtime +180是否有残留旧日志被自动清理； - 所有检查必须以最小权限账号运行脚本，禁止硬编码root密码或明文密钥，否则引入新风险。
