服务器没有“权限最小化启动参数”，真正需落实的是：一、Linux服务以专用低权限用户和受限capabilities运行；二、SQL Server用-f参数最小配置启动用于故障修复；三、数据库账号按需授权并禁用高危权限；四、Windows服务使用NT SERVICE等最低特权账户。
服务器“权限最小化启动参数”这个说法并不准确——服务器本身没有叫“权限最小化”的启动参数。真正需要关注的，是两类实践：
一是以最小必要权限运行服务进程（即权限最小化）；
二是以最小配置启动服务（如 SQL Server 的 -f 参数），用于故障恢复，不是权限控制手段。
下面分场景说清楚怎么做：
一、Linux 服务以最小权限运行（非 root 启动）
关键不是改启动参数，而是改服务运行身份和能力限制：
-
禁止 root 运行：修改 systemd unit 文件（如
/etc/systemd/system/myapp.service），指定User=和Group=[Service] User=appuser Group=appgroup
-
禁用特权能力：用
CapabilityBoundingSet剥离不需要的 Linux capabilitiesCapabilityBoundingSet=CAP_NET_BIND_SERVICE CAP_SETUID CAP_SETGID # 其他如 CAP_SYS_ADMIN、CAP_DAC_OVERRIDE 等默认不包含，更安全
-
限制文件系统访问：启用
ProtectSystem=strict和ProtectHome=yesProtectSystem=strict # /usr、/boot、/etc 只读 ProtectHome=yes # /home、/root、/run/user 不可写
-
禁用环境变量继承：加
RestrictSUIDSGID=yes和NoNewPrivileges=yes
✅ 实操建议：先用
systemctl cat servicename查看当前配置，再新建 drop-in 文件（如/etc/systemd/system/servicename.d/10-secure.conf）覆盖加固项，最后systemctl daemon-reload && systemctl restart servicename。
二、SQL Server 以最小配置启动（-f 参数）
这是诊断性启动方式，用于修复无法正常启动的问题：
- 启动命令示例（Windows）：
net stop MSSQLSERVER sqlservr.exe -f -m"SQLCMD" // 单用户模式 + DAC 连接名
- 启动命令示例（Linux）：
sudo systemctl stop mssql-server sudo -u mssql /opt/mssql/bin/sqlservr -f
- 此时自动进入单用户模式，禁用远程连接、预读、CHECKPOINT、启动存储过程等；
-
必须用
sqlcmd或 DAC 连接（普通连接会被 SQL Server Agent 占用阻塞）； - 进入后执行
sp_configure调整错误配置，再SHUTDOWN WITH NOWAIT，重启服务。
三、MySQL / PostgreSQL 用户级权限最小化（非启动参数）
数据库服务本身通常以固定系统用户（如 mysql、postgres）运行，重点在账号权限控制：
- 创建专用账号，只授必要权限：
CREATE USER 'appuser'@'10.10.20.%' IDENTIFIED BY 'strong_pwd'; GRANT SELECT, INSERT ON mydb.orders TO 'appuser'@'10.10.20.%'; FLUSH PRIVILEGES;
- 禁用高危权限（
SUPER、FILE、SHUTDOWN）； - MySQL 8.0+ 推荐用 Role 统一管理：
CREATE ROLE 'reporter'; GRANT SELECT ON sales.* TO 'reporter'; GRANT 'reporter' TO 'analyst'@'%';
四、Windows 服务以最低特权账户运行（如 SQL Server 扩展）
Azure Arc 支持的 SQL Server 扩展已提供内置方案：
- 启用后，服务自动切换为
NT SERVICE\SqlServerExtension账户； - 该账户仅被授予：
- 读写自身日志目录和配置文件路径；
- 在 SQL Server 中以最小登录权限连接（如仅
db_datareader）； - 不具备
sysadmin或本地管理员权限；
- 需确保 SQL Server 服务账户本身已是
sysadmin，否则扩展无法初始化。
不复杂但容易忽略。
