最小权限服务部署要求每个服务以专用低权账户运行，禁用登录与交互能力，通过useradd -r -s /sbin/nologin创建系统用户，并在配置文件或systemd中显式指定User/Group，同步限制文件权限、启用SELinux/AppArmor及Capabilities等资源访问控制。

服务部署时直接用 root 账户启动，看似省事，实则埋下高危隐患。真正安全的服务部署，核心不是“能不能跑起来”，而是“出问题时影响有多大”。最小权限服务部署，就是让每个服务只以它真正需要的身份运行——不多一分，不缺一毫。

创建专用服务账户

不要复用 root 或普通用户，为每个服务单独建一个系统级账户。该账户不用于登录，也不具备交互能力，仅服务于特定进程。

• 用 useradd -r -s /sbin/nologin 创建（如 sudo useradd -r -s /sbin/nologin nginx）
• -r 标识为系统用户（UID 默认分配在1–999区间）
• -s /sbin/nologin 彻底禁用 shell 登录，避免被当作跳板
• 后续所有服务配置、文件属主、日志目录归属都统一指向该用户

服务进程降权运行

即使有了专用账户，服务仍可能默认以 root 启动。必须显式指定运行身份，否则权限控制形同虚设。

• Nginx：在 /etc/nginx/nginx.conf 中设置 user nginx;
• Apache：修改 /etc/httpd/conf/httpd.conf 中的 User 和 Group
• 自研服务：在 systemd unit 文件中添加 User=nginx 和 Group=nginx
• 容器部署：用 --user 1001:1001 或 USER nginx Dockerfile 指令强制降权

限制服务可访问的资源范围

服务账户本身权限小了，还要防止它通过路径遍历、符号链接等方式越界访问。

• 敏感配置文件（如 SSL 私钥）设为 600，且属主为服务账户：chmod 600 /etc/nginx/ssl/private.key && chown nginx:nginx /etc/nginx/ssl/private.key
• 启用 SELinux 或 AppArmor，为服务定义最小策略（例如 Nginx 只允许读取 /var/www、监听 80/443 端口）
• 对关键目录使用 mount --bind 或 chroot 进一步隔离（适用于高敏感场景）
• 必要时用 Linux Capabilities 替代 root 权限，如仅授权绑定低端口：setcap 'cap_net_bind_service=+ep' /usr/sbin/nginx

禁止 root 部署与初始化

很多数据库或中间件（如金仓 V9R4C19）已从机制上禁止 root 执行安装脚本。这不是限制运维，而是堵住最粗放的风险入口。

• 安装前先创建专用部署用户（如 kingbase），并赋予必要目录写权限
• 安装命令必须由该用户执行：su - kingbase -c "./setup.sh"
• 集群初始化、节点加入等操作同样需校验 UID，非专用用户直接报错退出
• CI/CD 流水线中，部署任务也应切换到对应服务账户上下文执行