强制系统账号使用独立密钥对实现唯一访问，需策略层、服务层和账户层协同控制：绑定专属密钥、禁用密码登录、服务端强制校验、阻断复用旁路、实施生命周期管控。

强制系统账号使用独立密钥对实现唯一访问，核心在于切断共享凭据路径、确保每个账号绑定专属密钥，并在认证环节强制校验。这不是单纯生成一对密钥就能完成的事，而是需要策略层、服务层和账户层协同控制。

明确密钥归属与隔离范围

系统账号（如 Linux 的 service account、Windows 的托管服务账户或本地服务账户）必须与具体身份强绑定，不能复用同一密钥或共用密钥存储目录。例如：

• Linux 下为每个服务用户（如 mysql、nginx）单独创建 ~/.ssh 目录，仅存放其专属私钥，权限严格设为 700（目录）和 600（私钥）；
• Windows 中避免使用 Local System 或 Network Service 这类泛化账户运行关键服务，改用专用域账户或 Managed Service Account（MSA），其密钥由 Active Directory 自动轮换并绑定至设备；
• 禁用所有账号的密码登录能力，只保留密钥认证通道，防止密钥被绕过。

在服务配置中硬性启用密钥验证

光有密钥不等于生效，必须在服务端强制启用且拒绝降级。常见操作包括：

• SSH 服务：在 /etc/ssh/sshd_config 中设置 PubkeyAuthentication yes，同时关闭 PasswordAuthentication no 和 KbdInteractiveAuthentication no；
• 数据库服务（如 PostgreSQL）：在 pg_hba.conf 中将对应用户认证方式设为 cert 或 scram-sha-256 配合客户端证书，而非 md5；
• Windows 服务：使用 sc.exe config [servicename] obj= "DOMAIN\svc-account" password= "" 设置服务登录账户，并通过组策略禁用该账户的交互式登录权限，仅允许服务启动上下文调用。

阻断密钥复用与免密绕过路径

很多“唯一访问”失效，是因为存在未被覆盖的旁路。需主动清理这些风险点：

• 删除所有账号的 ~/.ssh/authorized_keys 中重复出现的公钥，尤其警惕运维人员通用密钥被写入多个账户；
• 禁用 SSH 的 no-touch-required、no-user-rc 等免交互标记，防止密钥被用于无约束的自动化调用；
• 对 Windows 环境，关闭 Kerberos 的 S4U2Self 扩展或限制 SPN 注册权限，避免攻击者利用已泄露票据伪造其他服务身份。

建立密钥生命周期管控机制

密钥不是一次配置就永久有效，必须配套管理流程：

• 为每个系统账号配置密钥轮换周期（如每90天），并自动触发重签与部署（可通过 Ansible 或 Azure Automation 实现）；
• 记录密钥指纹与绑定关系到 CMDB 或 IAM 平台，支持快速审计“某密钥是否只关联一个账号”；
• 服务启动时校验密钥有效性（如检查证书链、OCSP 响应、CRL 状态），失败则拒绝启动，不降级回退。