服务器最小权限管理是围绕人、服务、数据和操作四维度构建的可控、可审计、可收敛的访问控制体系，核心是精准授权——每个实体仅在必要时间、路径和范围内行使必要权限。

服务器最小权限管理不是“少给权限”这么简单，而是围绕人、服务、数据和操作四个维度建立可控、可审计、可收敛的访问控制体系。核心不是限制，而是精准授权——让每个实体只在必要时间、必要路径、必要范围内动用必要权限。

用户账户：从“一人一权”到“按需切换”

普通用户不应拥有管理员组成员身份；管理员也不应日常使用高权限账户登录。关键做法包括：

• 为每位运维/开发人员创建独立标准账户，禁用共享账号（尤其是root或Administrator）
• 管理员账户仅用于执行特定管理任务，且须通过“运行方式”或runas临时提权，而非长期登录
• 在Windows中剥离域管理员、企业管理员等敏感组成员资格，改用“委派控制”分配具体OU或对象权限
• Linux下禁用root远程登录，所有提权操作必须经由sudo，且配置Defaults logfile记录完整命令行

服务与进程：拒绝“默认跑在root/SYSTEM上”

服务是长期驻留的高风险入口，其运行身份必须降权。常见错误是MySQL以SYSTEM启动、Nginx以root监听80端口。正确做法是：

• 为每个服务创建专用系统账户（如mysql、www-data），并设为不可交互登录（shell设为/usr/sbin/nologin）
• Windows服务在“属性→登录”页中明确指定非Administrators组账户；Linux服务通过systemd单元文件中的User=和Group=字段强制指定
• 检查SUID/SGID文件（Linux）和不安全的服务二进制权限（Windows），清除非必要设置，例如find / -perm -4000 2>/dev/null
• 数据库服务禁止授予SUPER、FILE、SHUTDOWN等高危权限，应用连接串中严禁硬编码DBA账号

文件与资源：权限粒度要落到“列”和“键”

最小权限在数据层体现为“能读不能写、能查不能删、能连不能管”。这要求权限控制不止于目录，还要深入配置项和字段：

• 敏感配置文件（如/etc/shadow、web.config）权限严格设为600（Linux）或仅Administrators+SYSTEM可读（Windows）
• Web根目录禁止全局可写（chmod o-w），上传目录单独隔离，禁止执行脚本
• 数据库按角色划分权限：报表账号仅SELECT指定视图；ETL账号仅INSERT/UPDATE目标表；备份账号仅含RELOAD和LOCK TABLES
• 使用ACL（Linux）或高级安全选项（Windows）对特殊目录/注册表键做例外授权，避免扩大主组权限

操作与审计：权限不是静态配置，而是动态闭环

权限设置后若无监控，等于没有设置。真正的最小权限管理包含持续验证环节：

• 定期导出AD中Enterprise Admins/Domain Admins成员列表，比对业务需求清单，清理冗余成员
• Linux使用auditd监控sudo调用、敏感文件访问、用户切换行为；Windows启用“高级审核策略”中的“特权使用”和“详细跟踪”
• 部署AIDE或Tripwire校验关键文件完整性，一旦发现/etc/passwd或winlogon.exe被篡改立即告警
• 所有权限变更必须走审批流程，并在CMDB或配置管理工具中留痕，确保“谁在何时为何加了什么权限”可追溯