用户与组管理基础

Debian系统中，用户和组的管理是权限控制的核心。使用adduser而非useradd可自动创建主目录和用户组，例如：adduser username。删除用户时，建议配合userdel -r username清理主目录和邮件池。组操作通过groupadd、groupdel完成，使用usermod -aG groupname username将用户追加到辅助组，注意-a必须与-G连用以避免覆盖现有组。

sudo权限精细化配置

通过visudo安全编辑/etc/sudoers文件。典型配置：

• 按用户授权：username ALL=(ALL:ALL) ALL赋予完全sudo权限
• 按组授权：%sudo ALL=(ALL:ALL) ALL让sudo组成员可执行所有命令
• 限制命令：username ALL=(root) /usr/bin/apt, /usr/bin/systemctl仅允许特定管理员命令
• 免密码执行：username ALL=(ALL) NOPASSWD: /usr/bin/reboot无需密码重启

建议为不同运维角色创建专用组，如deploy、audit，分别赋予最小必要权限。

文件权限与ACL

传统chmod和chown管理文件所有者、所属组及读(4)、写(2)、执行(1)权限。例如chmod 750 /data表示所有者可读写执行，组可读执行，其他人无权限。注意chown root:www-data /project将文件所有者设为root，组设为www-data。

当基础权限不满足时，使用ACL（访问控制列表）。Debian默认支持ACL，通过setfacl和getfacl管理。例如：setfacl -m u:john:rwx /shared为特定用户john赋予读写执行权限；setfacl -m g:developers:rx /shared为developers组赋予读和执行权限。使用setfacl -d -m u::rwx /shared设置默认ACL，新建文件自动继承。

umask与安全基线

umask决定新建文件和目录的默认权限。在/etc/profile或~/.bashrc中设置umask 027，使新建文件默认权限为640（所有者读写，组读，其他人无），目录为750。对于共享目录建议umask 002使组可写，但需配合SGID使用：chmod g+s /shared，确保新文件继承组。

权限审计与排查

使用ls -la查看文件权限与所有者；getfacl检查ACL；find / -perm -4000 -o -perm -2000搜索SUID/SGID程序，谨防提权漏洞。定期运行sudo -l -U username查看特定用户的sudo权限清单。结合last和journalctl _COMM=sudo审计sudo使用记录。

实用提示

• 避免直接使用root登录，通过具有sudo权限的普通用户操作。
• 为每个服务创建独立系统用户（使用-r参数），如adduser --system --group myservice。
• 对敏感文件（如/etc/shadow）使用chmod 640 root:shadow保护。
• 利用pam_umask.so在PAM层面统一强制umask。