《UNIX/Linux系统管理技术手册-读书笔记-第三章

1. 标准UNIX访问控制模型

1.1 核心原则

1.2 文件系统访问控制

实操命令：

1
2
3

ls -l ~garth/todo
# -rw-r----- 1 garth staff 1259 May 29 19:55 /Users/garth/todo
# 属主garth可读写，staff组成员可读

1.3 进程所有权

普通情况下real=effective，特权程序（setuid）会改变effective。

1.4 root账户（超级用户）

不要创建其他UID=0的账户，不要修改root用户名——会破坏安全并造成困惑。

1.5 setuid和setgid

2. root账户管理最佳实践

2.1 不要直接以root登录

推荐做法：禁用root的终端/网络登录。

2.2 su：替换用户身份

su 基本被 sudo 替代，仅作应急备用。

2.3 sudo：受限版su（核心工具）

sudoers典型配置示例：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# 别名定义
User_Alias ADMINS = alice, bob, charles
Host_Alias CS = trigger, anchor, piper
Cmnd_Alias DUMP = /sbin/dump, /sbin/restore

# 权限规则（匹配规则：使用最后匹配的一条）
ADMINS ALL = (ALL) ALL                     # alice等可在任何主机以任何身份执行任何命令
%wheel ALL = (ALL) ALL                     # wheel组成员同样
mark, ed PHYSICS = ALL                     # mark/ed在PHYSICS主机组可执行所有命令
herb CS = /usr/sbin/tcpdump                # herb在CS主机可执行tcpdump
lynda ALL = (ALL) ALL, !SHELLS             # 排除shell（注：可绕过）

sudo优点：

• ✅ 命令日志提升审计能力
• ✅ 细粒度授权（无需给完整root）
• ✅ 回收权限无需改root密码
• ✅ 单文件控制全网访问
• ✅ 比su更快

sudo缺点/风险：

• ❌ sudo用户的个人账户安全=root安全（扩散攻击面）
• ❌ 日志可被绕过（如sudo sh）
• ❌ 严格限制“除XX之外的所有命令”难以真正实现

实用配置要点：

站点级sudoers分发：

• 使用主sudoers文件（通过scp/cron分发）统一管理
• 在应用前用 visudo -c -f newsudoers 验证格式
• 用IP地址匹配而非主机名（云环境主机名不可靠）

2.4 禁用root账户（高级实践）

2.5 系统伪账户

3. 标准模型扩展

3.1 标准模型的缺点

3.2 PAM：插接式认证模块

3.3 Kerberos：网络加密认证

（Kerberos配置详见17.3节）

3.4 文件系统ACL（访问控制列表）

3.5 Linux能力系统（Capabilities）

查看所有能力：man capabilities

3.6 Linux名字空间（Namespaces）

4. 现代访问控制（MAC系统）

4.1 背景：LSM（Linux Security Module）API

主流LSM模块：SELinux、AppArmor、Smack、TOMOYO、Yama

4.2 强制访问控制（MAC）vs 自主访问控制（DAC）

MAC核心价值：最小化权限原则——即使软件有缺陷，只能破坏其所需的最小资源范围。

4.3 SELinux：安全增强型Linux

SELinux配置（/etc/selinux/config）：

1
2

SELINUX=enforcing        # enforcing | permissive | disabled
SELINUXTYPE=targeted     # 策略数据库名称

实用工具：

本章观点：SELinux弊大于利——复杂性导致安全漏洞（管理员理解不足+攻击者研究深入）。推荐仅在有强制合规要求的环境（政府/金融/医疗）使用。

4.4 AppArmor

AppArmor配置示例（cups-browsed守护进程）：

/usr/sbin/cups-browsed {
    include <abstractions/base>
    include <abstractions/nameservice>
    /etc/cups/cups-browsed.conf r,
    /var/cache/cups/* rw,
    /tmp/** rw,
    include <local/usr.sbin.cups-browsed>
}

路径模式：**匹配多级子路径，{var/;}表示可选var前缀。

AppArmor vs SELinux：

5. 本章核心命令速查表

6. 本章要点总结

DBA视角补充：

• 数据库服务（MySQL/PostgreSQL/Oracle）通常以专用伪账户运行（如mysql），需确保其数据目录权限正确；
• sudo可用于授权DBA执行特定管理命令（如systemctl restart postgresql），而无需开放完整root；
• SELinux/AppArmor策略可能阻止数据库访问其数据文件或端口，排查服务启动失败时记得检查MAC日志；
• setuid程序极少用于数据库场景，更多出现在系统基础命令（passwd、ping等）。