Linux 用户权限与安全加固：从 ACL 到 SELinux 的完整实战

# 创建用户（并创建家目录）
useradd -m -s /bin/bash alice
# 或带注释与附加组
useradd -m -G sudo,dev alice -c "Alice Dev"

# 设置/修改密码
passwd alice

# 修改用户属性
usermod -aG docker alice     # 加入组（-a 必须，防覆盖）
usermod -s /usr/sbin/nologin bob   # 禁止登录

# 删除用户
userdel -r alice             # -r 同时删家目录

groupadd devops
groupadd -g 2001 devops      # 指定 GID
groupmod -n dev devops       # 改名
groupdel dev
gpasswd -a alice devops      # 加入组

cat /etc/passwd     # 用户列表（alice:x:1000:1000::/home/alice:/bin/bash）
cat /etc/shadow     # 密码哈希（只有 root 可读）
cat /etc/group      # 组列表

-rwxr-xr--  1  alice  dev   1024  Sep 25 10:00  script.sh
│  │││ │││   │  user  group
│  └┴┴─┴┴┴─ 权限：属主/属组/其他
│
第一位：- 文件，d 目录，l 链接

# 数字法
chmod 750 script.sh      # rwxr-x---
chmod 644 file.txt       # rw-r--r--

# 符号法
chmod u+x script.sh      # 属主加执行
chmod g-w file.txt       # 组去掉写
chmod o-r file.txt       # 其他人去掉读
chmod a+r file.txt       # 所有人加读

# 修改属主/属组
chown alice:dev script.sh
chown -R alice:dev /app   # 递归

# 特殊位
chmod +t /tmp         # sticky：仅属主可删（/tmp 默认）
chmod u+s /usr/bin/passwd  # setuid：以属主身份运行
chmod g+s /shared     # setgid：新文件继承组

# 查看特殊位
ls -ld /tmp   # drwxrwxrwt（末尾 t）

默认文件权限 = 666 - umask
默认目录权限 = 777 - umask

umask          # 查看当前
umask 027      # 临时设置

# 永久：写入 /etc/profile 或 ~/.bashrc
echo 'umask 027' >> ~/.bashrc

普通开发机: 022（常用，兼容性好）
服务器/共享目录: 027 或 077（更严格，默认不开放给 other）

# 确保支持（ext4/xfs 默认支持）
# 安装工具
apt install acl

# 给用户 bob 单独 rwx
setfacl -m u:bob:rwx /data/project

# 给组单独权限
setfacl -m g:devops:rx /data/project

# 查看
getfacl /data/project

# 移除
setfacl -x u:bob /data/project
setfacl -b /data/project    # 清空所有 ACL

# 从文件 A 复制 ACL 到 B
getfacl A | setfacl --set-file=- B

# 递归设置默认 ACL（新文件自动继承）
setfacl -m d:u:bob:rwx /data/project

# 查看当前用户可执行
sudo -l

# 直接查看配置文件
cat /etc/sudoers          # 用 visudo 编辑
sudo visudo

# /etc/sudoers 关键行
root ALL=(ALL) ALL                              # root 全能
%sudo ALL=(ALL:ALL) ALL                         # sudo 组可提权
alice ALL=(ALL) NOPASSWD:ALL                    # 免密（谨慎）
bob ALL=(ALL:ALL) ALL                           # 完全 sudo
carol ALL=(ALL) /usr/bin/systemctl restart nginx   # 只允许特定命令

# 运维账号只允许管理特定服务
ops ALL=(ALL) /usr/bin/systemctl restart nginx, /usr/bin/systemctl status nginx

# 日志查看专用
logviewer ALL=(ALL) /usr/bin/tail /var/log/*, /usr/bin/grep /var/log/*

# 禁止 root 远程直接登录，改用普通用户 + sudo
sudo visudo
# 加：需要 TTY 与完整路径（默认即如此）
Defaults requiretty
Defaults secure_path=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin

# 禁止 root 直接登录（改用 sudo）
PermitRootLogin no

# 仅允许密钥登录
PasswordAuthentication no
PubkeyAuthentication yes

# 限定可登录用户
AllowUsers alice ops

# 限制尝试次数，防爆破
MaxAuthTries 3

# 只监听特定网卡（可选）
ListenAddress 192.168.1.100

systemctl restart sshd

# 客户端生成密钥
ssh-keygen -t ed25519 -a 100

# 上传公钥到服务器
ssh-copy-id alice@server
# 或手动追加到 ~/.ssh/authorized_keys

# 权限检查（必须是 600）
chmod 600 ~/.ssh/authorized_keys
chmod 700 ~/.ssh

# fail2ban：自动封禁多次失败 IP
apt install fail2ban
systemctl enable --now fail2ban

# 查看封禁
fail2ban-client status sshd

pam_pwquality   # 密码强度
pam_faillock    # 失败锁定
pam_google_authenticator  # TOTP 二次认证

# /etc/security/pwquality.conf
minlen = 12
dcredit = -1   # 至少 1 数字
ucredit = -1   # 至少 1 大写
ocredit = -1   # 至少 1 特殊字符

# /etc/security/faillock.conf
deny = 5           # 5 次失败
unlock_time = 900  # 15 分钟解锁

传统权限（DAC）: 由文件属主决定「谁能访问」
SELinux（MAC）: 内核强制，即使 root 也受策略约束

getenforce        # 查看模式
setenforce 0      # 临时切 Permissive（重启失效）

# 查看进程上下文
ps -Z

# 查看文件上下文
ls -Z /var/www/html

# 恢复标准上下文
restorecon -Rv /var/www/html

# 查看被拒记录
ausearch -m avc -ts recent

# 把自定义目录打上 httpd 标签
semanage fcontext -a -t httpd_sys_content_t "/data/www(/.*)?"
restorecon -Rv /data/www

# 需要时放行网络端口
semanage port -a -t http_port_t -p tcp 8080

□ 1. 创建非 root 运维账号，加入 sudo
□ 2. 禁止 root 直接 SSH，禁止密码登录，启用密钥
□ 3. 更新系统补丁（apt/yum upgrade）
□ 4. 启用 fail2ban 防爆破
□ 5. 开放最小化端口，仅限所需（iptables/nftables）
□ 6. 设置合理 umask（如 027）与文件权限
□ 7. 配置密码策略与失败锁定（PAM）
□ 8. 服务使用独立低权限用户运行
□ 9. 检查并清理不必要的定时任务与可疑进程
□ 10. 定期审计日志（/var/log/auth.log、secure）

P0 最紧急: 改默认密码、禁 root SSH、开防火墙
P1 重要:   密钥登录、最小权限 sudo、补丁更新
P2 增强:   PAM 策略、SELinux/AppArmor、fail2ban