实施服务器账户最小权限原则的核心是按需赋权、持续管理：创建专用账户（禁用root登录、服务账户设nologin）、精细化sudo授权、服务进程降权运行（systemd指定User/Group）、定期审计全局可写文件及高权组成员，并及时回收离职人员权限。

实施服务器账户最小权限原则，核心是让每个账户只拥有完成其职责所必需的权限，不多不少。这不是一次配置就能一劳永逸的事，而是贯穿账户生命周期的持续管理过程。

创建专用账户，禁止通用高权账号

不共用root或Administrator账号，为不同角色和用途创建独立账户：

• 普通运维人员使用标准用户账户登录，不默认赋予sudo或管理员组权限
• 为服务（如Nginx、MySQL、Redis）创建专用系统账户，用useradd -r -s /sbin/nologin命令创建，禁用交互式登录
• 禁用root远程SSH登录：修改/etc/ssh/sshd_config中PermitRootLogin no，重启sshd生效
• 定期检查/etc/passwd和/etc/shadow，清理长期未用、shell异常（如/bin/bash但无登录需求）的账户

按需分配sudo或提权能力

避免直接给用户加wheel或sudo组，改用精细化命令授权：

• 用visudo编辑/etc/sudoers，添加类似%webadmin ALL=(www-data) /usr/bin/systemctl restart nginx的行，限定可执行命令、目标用户和操作范围
• 启用sudo日志：在/etc/sudoers中添加Defaults logfile="/var/log/sudo.log"，确保所有提权操作可追溯
• 对临时高危任务（如紧急修复），采用限时、限IP、限命令的sudo规则，任务结束后立即撤销

服务与进程运行身份降权

后台服务不应以root身份运行，应明确指定非特权用户：

• 在systemd服务单元文件（如/etc/systemd/system/myapp.service）中设置User=appuser和Group=appgroup
• Web服务器（Nginx/Apache）使用www-data或自建专用用户，配置文件目录归属设为该用户，禁止写入根目录或/etc
• 数据库服务启动时指定运行用户（如MySQL的mysqld --user=mysql），数据目录权限设为750，属主为mysql用户

定期审计与权限回收

最小权限不是静态配置，必须配合周期性审查：

• 每月运行getent group sudo wheel检查高权组成员，确认新增人员是否合理
• 用find /etc /var/www /opt -type f -perm -o+w 2>/dev/null扫描全局可写文件，及时修正
• 用户调岗或离职时，立即禁用账户（usermod -L）、移出特权组、回收密钥和API Token
• 结合auditd或AIDE工具，监控关键配置文件（如/etc/sudoers、/etc/passwd）变更，设置告警