最小权限管理是精准授予刚好够用的权限，纵深防御是将权限控制嵌入每层防线：网络层锁入口筛身份，认证层控操作防提权，系统层降权运行限资源，检测层监控告警保闭环。

最小权限管理不是“少给点权限”，而是让每个用户、服务和进程只拿到刚好够用的那一小块，多一分会增加风险，少一分会影响功能。纵深防御也不是堆砌工具，而是把权限控制嵌进每一层防线里——从谁能连进来，到连进来后能看什么、改什么、运行什么，层层设防，环环兜底。

网络与访问控制层：先锁住入口，再筛清身份

这是攻击者最先触碰的一层，也是权限管理的起点。不能只靠“关端口”来收缩暴露面，关键在于区分“谁可以连”和“连上来能做什么”。

• 禁用 root 远程登录，强制使用普通运维账号 + SSH 密钥认证，避免密码爆破直达最高权限
• 云环境用安全组或网络 ACL 实现“最小开放”：只放行必需端口（如 22、443），且限制源 IP 范围，不开放 0.0.0.0/0
• 对 SSH 服务启用 Match User/Group 配置，为不同角色设置不同策略，比如审计账号禁止执行命令，仅允许 sftp；开发账号禁止 sudo，但可访问特定日志目录
• 关闭 ICMP 响应、禁用 IPv6 重定向等内核参数，减少被动泄露信息的风险

身份认证与授权层：细粒度控制“你能干什么”

连接成功只是开始，真正的权限博弈发生在登录之后。这一层的目标是：即使账号被窃，攻击者也无法提权或横向移动。

• 用 sudoers 文件做命令级授权，例如 %deploy ALL=(nginx) /usr/bin/systemctl restart nginx，不给 shell 权限，只允许可信操作
• 为关键服务创建独立系统用户（如 www-data、redis），并确保其 shell 设为 /usr/sbin/nologin，杜绝交互式登录
• 启用 PAM 模块强化认证流程，比如 pam_faillock.so 限制失败尝试次数，pam_pwquality.so 强制密码复杂度
• 定期检查 /etc/passwd 中 UID 0 的非 root 账户、空密码账户、过期账户，及时清理

系统与服务强化层：权限下沉到文件、进程与内核

权限不该只停留在用户层面，还要落到具体资源上。一个服务是否以最低权限运行？关键配置文件是否可被任意修改？内核是否默认放行危险行为？

• 用 SELinux 或 AppArmor 为服务定义策略，比如限制 nginx 只能读取 /var/www 和写入 /var/log/nginx，禁止访问数据库 socket
• 收紧关键目录权限：/etc/shadow 必须为 600，/root 和 /home/*/.ssh 目录设为 700，避免私钥被其他用户读取
• 禁用内核模块自动加载（kernel.modules_disabled=1），防止通过 insmod 加载恶意驱动提权
• 对敏感二进制文件（如 /usr/bin/sudo）启用 setuid/setgid 审计，配合 auditd 监控异常调用

检测与响应层：让越权行为无法隐身

再严密的权限设计也难保万无一失。这一层不追求“拦住所有”，而是确保“任何越权都被看见、被记录、被阻断”。

• 开启 auditd，重点监控 execve、setuid、chmod、chown 等系统调用，规则写入 /etc/audit/rules.d/permissions.rules
• 部署文件完整性监控（如 AIDE 或 Tripwire），定期比对 /etc、/bin、/sbin 下关键文件的哈希值，发现篡改立即告警
• 将所有用户操作日志（包括 sudo 命令、SSH 登录、shell 历史）集中转发至远程日志服务器，防止本地日志被清除
• 对特权操作（如修改防火墙、重启服务、切换用户）配置实时告警，通过邮件或企业微信推送，延迟不超过 30 秒