服务器账户操作须嵌入组织级审批机制，按风险分级管控：高危操作（如新建sudo账号）必须审批，中危操作（如删除活跃账号）建议审批，低危操作（如改密码）可免审但需登记。
服务器账户的创建与删除不是技术操作 alone，而是需要嵌入组织级审批机制的安全事件。直接执行 useradd 或 userdel 属于高危动作，必须前置审批、留痕、可审计。
明确审批触发场景
并非所有账户操作都需要走审批流，应按风险等级分级管控：
- 必须审批：新建具备 sudo / root 权限的运维账号、新增数据库登录名（如 SQL Server 登录名）、为第三方人员开通临时访问账号；
-
建议审批：删除仍在活跃使用的账号（如
userdel: user xxx is currently used by process）、批量创建/删除账号（≥3个）、修改关键账号的权限组（如从普通用户加入docker或sudo组）； -
可免审但需登记：仅调整账号密码（
passwd）、启用/禁用已存在账号（chage -E或usermod -L）、重置 SSH 密钥（authorized_keys更新）。
搭建基础审批配置（以阿里云运维事件中心为例）
审批流程需依托平台能力实现自动化闭环，不依赖人工邮件或微信确认：
- 在「变更管理 > 基础配置」中，新建一个变更系统，例如命名为 “服务器账号生命周期管理”；
- 为其定义变更类型，如 “新建Linux用户”、“删除数据库登录名”、“授予sudo权限”；
- 设置变更场景，例如 “生产环境”（强制审批）、“测试环境”（单人审批即可）；
- 进入「审批配置」，为每类变更绑定审批流：指定变更系统 + 变更类型 + 变更场景，并配置审批人（如：一级为直属组长，二级为安全合规岗），规则选 “必须全部通过”（高风险操作不可跳过任一环节）。
审批内容必须包含关键字段
提交审批时，申请人不能只写“请建个账号”，而要结构化填写必要信息，系统自动校验并阻止缺失项：
- 账号用途：明确说明是用于“K8s集群巡检”还是“第三方API对接”，禁止填“日常使用”等模糊描述；
-
权限范围：精确到组或命令，如“仅加入
adm组查看日志”、“允许执行systemctl status nginx”； -
有效期：临时账号必填到期时间（格式 YYYY-MM-DD），系统到期后自动禁用（
chage -E）； -
责任人绑定：填写申请人姓名、工号、手机号，且该信息同步写入账号注释字段（
useradd -c "Zhang San, 10086, 138****1234"），确保可追溯。
审批通过后的自动化执行与核验
审批只是起点，后续动作需与脚本/平台联动，避免“批了但没做”或“做了但没按批的做”：
- 审批通过后，触发预设脚本自动执行：调用
adduser或sqlcmd创建账号，并强制设置密码策略（如chage -d 0强制首次登录改密）； - 执行后立即回传结果：记录实际创建的 UID、家目录路径、所属组、SSH 公钥指纹（若配置），并截图存档；
- 执行失败需自动告警：如因密码太弱被拒绝（
BAD PASSWORD）、目标组不存在，立刻通知申请人和审批人，并冻结该审批单； - 删除操作同理：先调用
pkill -u清理进程，再userdel -r，最后扫描/home和/var/mail确认无残留。
