最小权限管理必须通过堡垒机与服务器联动实现，堡垒机作为控制中枢统一定义权限、托管账号、拦截高危命令并结构化审计，服务器仅作为受限执行终端。

服务器最小权限管理必须和堡垒机联动设计，不能只在目标服务器上单独配置。堡垒机是权限落地的控制中枢，服务器本身只是执行终端。只有两者配合，才能让“谁、在何时、用哪个账号、访问哪台机器、执行了什么命令”全程可追溯、可验证、可干预。

权限策略必须在堡垒机里定义，不在服务器上硬编码

最小权限不是靠在每台服务器上给用户配一堆sudo规则来实现的。那样既难统一，又容易被绕过（比如用户sudo su -后所有限制失效）。正确做法是：

• 在堡垒机中为每个运维人员创建独立账号，不共享、不复用
• 为每台服务器资产配置“管理用户”（如ops-mysql），该用户在服务器上仅拥有执行具体任务所需的最小权限（例如只允许mysqldump、SELECT，禁用DROP/DELETE）
• 堡垒机在代理连接时，自动使用这个受限管理用户登录，而不是让用户直连root或高权限账号
• 用户在Web终端或SSH客户端看到的，就是这个受限账号的权限边界，无法越权

命令级控制要靠堡垒机拦截，而非服务器日志补救

服务器本地的bash history或sudo日志只能记录“用户敲了什么”，但无法确认是否真执行、是否被篡改、是否发生在合法会话中。堡垒机介入后，能真正实现端到端命令审计：

• 所有SSH会话必须经堡垒机建立，命令流全程被截获并解析
• 可在堡垒机中配置高危命令过滤规则，如rm -rf /、reboot、chmod 777，命中即阻断并告警
• 命令执行结果（成功/失败、返回码、影响行数）与操作者、时间、资产信息绑定存储，不可抵赖
• 录像回放中可精准定位某条命令在会话中的位置，支持逐帧检索

账号生命周期和凭证管理由堡垒机统一托管

最小权限的前提是账号可控。如果密码散落在各处、私钥由个人保管、离职人员账号未及时停用，再细的权限划分也形同虚设：

• 服务器上禁用root远程登录（PermitRootLogin no），所有访问必须走堡垒机代理
• 堡垒机集中托管资产账号密码或私钥，用户无需知道真实凭据，登录即自动代填
• 用户离职时，只需在堡垒机中禁用其账号，所有关联资产访问立即失效
• 支持定期自动轮换资产账号密码，并同步更新至堡垒机凭证库，无需人工干预服务器

审计闭环依赖堡垒机的结构化日志能力

传统方式靠grep日志查问题，效率低、维度少、难归因。堡垒机把审计从“事后翻记录”升级为“事中可干预+事后可穿透”：

• 会话记录包含：操作者姓名、工号、IP、目标资产IP/主机名、协议类型、起止时间、命令列表、文件传输记录
• 支持按关键词（如UPDATE、WHERE）、时间段、资产标签、用户角色等多维组合筛选
• 数据库操作审计可识别SQL语义，对含敏感条件的UPDATE/DELETE自动标记高风险
• 所有操作录像与文本日志双向关联，点击命令即可跳转到对应录像时间点