为采集用户beater配置最小化ACL读取权限：先递归设置访问ACL（setfacl -Rm u:beater:r），再设置目录默认ACL（setfacl -m d:u:beater:r）确保轮转日志自动继承，同时验证文件系统启用acl、收紧other权限、确认mask为r--。
在日志分析系统中，为采集程序（如 Filebeat、Fluentd 或自研 agent）配置专属 ACL 读取权限，核心目标是：让采集进程能安全、稳定地读取日志文件，同时不提升其系统权限（避免用 root 运行），也不破坏原有属主/属组结构或开放其他用户可读风险。
确认日志目录和采集用户已就绪
先确保两点基础就位：
- 日志路径明确，例如 /var/log/app/ 及其下所有
*.log文件 - 采集程序以专用低权限用户运行（推荐不复用 root 或 syslog），例如已创建用户 beater
为采集用户添加最小化读取 ACL
对日志目录及现有日志文件批量授权读权限（r），不加写（w）或执行（x）：
linux-sysadmin
下载
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
- 递归设置访问 ACL：
setfacl -Rm u:beater:r /var/log/app/ - 验证是否生效：
getfacl /var/log/app/access.log | grep "user:beater"→ 应显示user:beater:r-- - 注意：若日志文件由 logrotate 等工具轮转生成，需确保新文件也受控（见下一步）
为目录设置默认 ACL，保障新日志自动继承
仅设访问 ACL 不够——logrotate 创建的 access.log.1、access.log-20260915 等新文件默认无 ACL。必须设置默认 ACL（仅对目录有效）：
- 执行：
setfacl -m d:u:beater:r /var/log/app/ - 效果：此后该目录下新建的任何文件或子目录，自动带
user:beater:r--条目 - 查看默认规则：
getfacl /var/log/app/ | grep "default:user:beater"
检查并清理潜在权限干扰
ACL 生效前，还需排除常见干扰项：
- 确认文件系统已启用 acl 挂载选项：
mount | grep "$(df /var/log/app | tail -1 | awk '{print $1}')" | grep acl，无输出则需sudo mount -o remount,acl /var/log - 避免过度开放：
ls -l /var/log/app/中权限末尾不应出现+以外的异常符号；若已有other::r--，建议收紧为other::---（用chmod o-r），再靠 ACL 精准放行 - 掩码（mask）应匹配实际需求：
mask::r--即可，无需rwx；setfacl 默认会自动调整，无需手动干预
