一、权限分级与角色划分
基于RBAC（基于角色的访问控制）模型，建议将服务器管理员分为三个层级：超级管理员、运维管理员和普通用户。超级管理员仅限核心技术人员，运维管理员负责日常维护，普通用户仅开放特定服务端口访问权限。
通过用户组管理实现权限继承，例如创建web_admins组赋予Nginx配置权限，db_admins组分配数据库管理权限。使用命令实现：
sudo groupadd web_admins
sudo usermod -aG web_admins username二、访问控制配置工具
常用权限管理工具包括：
- chmod/chown：基础权限分配工具
- ACL：实现精细化权限控制
- SELinux：强制访问控制框架
| 命令 | 功能 |
|---|---|
| chmod 750 /data | 所有者读写执行，组读执行 |
| setfacl -m u:user:rwx /logs | 添加用户ACL权限 |
三、安全加固策略
实施最小权限原则时应包含：
- 禁用root远程登录
- 配置SSH密钥认证
- 设置IP白名单访问策略
- 启用双因素认证机制
网络层防护需配置防火墙规则，建议采用以下优先级：
iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j DROP四、审计与监控机制
建立完整的审计体系需包含：
- 记录sudo操作日志到独立文件
- 配置auditd监控敏感目录访问
- 使用Prometheus监控权限变更事件
建议每日审查以下日志文件：
/var/log/auth.log
/var/log/sudo.log
/var/log/audit/audit.log服务器权限管理需遵循”最小化+审计”原则，通过RBAC模型实现权限隔离，结合ACL和SELinux增强细粒度控制。定期进行漏洞扫描和权限复核，可降低90%以上的越权访问风险。
