Debian Context里怎样管理用户权限

Debian 中的“Context”通常指 Linux 的“安全上下文”机制（如 SELinux 的 security context 或 AppArmor 的 profile 上下文）。在该语境下，用户权限管理包含两部分：一是传统的 Linux 用户/组与文件权限，二是 进程/服务在强制访问控制（MAC）框架下的上下文与权限。Debian 默认启用 AppArmor，而 SELinux 需额外安装与启用。

一、基础用户与文件权限管理

• 用户与组
  • 新增用户：sudo adduser alice（交互式创建家目录与信息）
  • 加入 sudo 组：sudo usermod -aG sudo alice
  • 删除用户：sudo deluser --remove-home alice
  • 新建/删除组：sudo groupadd devs、sudo groupdel devs
• 文件与目录权限
  • 查看权限：ls -l
  • 修改权限：chmod 755 /opt/app
  • 修改属主/属组：sudo chown www-data:www-data /var/www/html
  • 递归与精细授权：sudo chown -R app:app /opt/app，必要时配合 chmod g+s 设置目录粘滞位
• sudo 精细化
  • 推荐用 sudo visudo 安全编辑 /etc/sudoers，例如仅允许某用户重启某服务：
    • alice ALL=(ALL) /bin/systemctl restart nginx
  • 为组授权：%devs ALL=(ALL) NOPASSWD: /usr/bin/apt, /usr/bin/systemctl
• ACL 细粒度
  • 启用 ACL（若文件系统未启用）：sudo tune2fs -o acl /dev/sdXn && sudo mount -o remount /data
  • 设置 ACL：setfacl -m u:bob:rwx /data/project
  • 查看 ACL：getfacl /data/project 以上命令覆盖用户/组生命周期与文件权限、sudo 精细化与 ACL，满足大多数服务与开发场景的权限需求。

二、SELinux 上下文与权限管理（如已启用）

• 查看与临时修改
  • 查看上下文：ls -Z /var/www/html/index.html
  • 临时修改：sudo chcon -t httpd_sys_content_t /var/www/html/index.html
  • 恢复默认：sudo restorecon -Rv /var/www/html
• 永久修改与策略
  • 永久规则：sudo semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"
  • 使永久规则生效：sudo restorecon -Rv /var/www/html
  • 从拒绝日志生成模块：sudo audit2allow -a -M myhttpd
  • 加载/卸载模块：sudo semodule -i myhttpd.pp、sudo semodule -r myhttpd
• 启用提示
  • Debian 默认不启用 SELinux，需安装与启用相关包后再进行上述操作。

三、AppArmor 上下文与权限管理（Debian 默认启用）

• 配置与模式
  • 配置路径：/etc/apparmor.d/
  • 切换为强制/投诉模式：sudo aa-enforce /etc/apparmor.d/usr.sbin.nginx、sudo aa-complain /etc/apparmor.d/usr.sbin.nginx
  • 解析/卸载配置：sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.nginx、sudo apparmor_parser -R /etc/apparmor.d/usr.sbin.nginx
• 适用场景
  • 通过为服务（如 nginx、mysqld、docker）编写或调整 profile，限制其对文件、目录、套接字、能力的访问，实现“进程级最小权限”。

四、实践建议与排错

• 最小权限原则
  • 服务以专用系统用户运行（如 www-data、postgres），目录属主/属组与权限按“需知最小”配置；必要时用 ACL 精确授权。
• 安全加固配套
  • 保持系统更新：sudo apt update && sudo apt upgrade -y
  • 自动安全更新：sudo apt install unattended-upgrades -y && sudo dpkg-reconfigure unattended-upgrades
  • 限制 SSH：PermitRootLogin no、PermitEmptyPasswords no，优先使用密钥登录
  • 防火墙：仅放行 SSH/HTTP/HTTPS，可用 ufw 或 iptables
  • 入侵防护：Fail2ban 监控暴力登录
• 审计与回滚
  • 关键变更前备份配置；变更后用 aa-status、sestatus（若启用 SELinux）、服务日志与 journalctl -xe 复核；必要时回滚 profile 或 ACL。