服务器访问控制核心是按职责建边界、靠身份控动作，通过跳板机+RBAC实现逻辑隔离，结合防火墙zone划分、路径级权限管控及多维分组归属，确保部门间运维权限独立、可审计、可隔离。
服务器访问控制要对不同部门划分独立的运维权限区，核心是“按职责建边界、靠身份控动作”，而不是简单按IP段或账号名一刀切。关键在于把部门角色映射成可执行、可审计、可隔离的权限单元。
用跳板机+RBAC实现逻辑隔离
所有部门人员必须通过统一跳板机（如JumpServer）接入，禁止直连服务器。在跳板机上按部门建用户组（如dev-group、finance-ops-group、hr-support-group），每个组绑定专属资产节点和系统用户权限：
- 开发组只能访问WEB-TEST和CI-CD节点，且仅允许使用普通系统用户执行部署脚本
- 财务运维组可登录ERP-DB和FINANCE-APP，但禁用rm、chmod等高危命令，sudo权限需二次MFA确认
- HR支持组仅能查看AD-SYNC和LDAP-BACKUP服务器日志，无shell交互权限
防火墙层面按业务区域设Zone
在服务器本地用firewalld按部门职能定义专属zone，不依赖IP网段——哪怕财务和研发机器在同一物理子网，也要强制分离：
- 创建finance-zone，只绑定财务系统网卡（如eth0:1），默认拒绝所有入向，仅放行HTTPS+特定API端口
- 创建dev-test-zone，绑定测试环境接口（如veth-dev），开放8080/3000/2222，但显式拒绝访问3306/5432/6379等生产端口
- 跨zone通信必须写富规则授权，例如HR系统调用认证服务，需在auth-zone中明确添加：
firewall-cmd --permanent --zone=auth-zone --add-rich-rule='rule family="ipv4" source address="172.16.30.0/24" port port="389" protocol="tcp" accept'
文件与路径级权限叠加管控
操作系统层面对敏感目录做细粒度约束，避免越权读写：
- 财务系统配置文件存于/etc/erp-finance/，属组设为finance-ops，权限750，禁止其他组读取
- Nginx中为不同部门后台路径设独立认证：/admin/finance/启用HTTP Basic Auth + IP白名单（仅限10.50.10.0/24），/admin/hr/则用LDAP组校验+会话超时5分钟
- 数据库bind-address限制为127.0.0.1或跳板机IP，配合nftables仅允许可信源连接，SELinux策略标记conf_t类型防止越权访问
分组归属支持多维视角管理
一台服务器可同时归属多个逻辑分组，满足不同管理需求：
- 某台数据库服务器既是ERP系统节点，又属于财务科责任范围，还位于A座机房——三者互不冲突
- 监控平台中，财务科负责人只看到“财务科”分组下的全部设备；运维主管则切换到“ERP系统”分组，集中查看跨部门的关联资源状态
- 审计人员通过“高风险操作”临时分组，自动聚合所有含sudo、rm -rf、mysqldump等行为的日志主机，无需人工筛选
