debian日志权限如何设

在 Debian（以及大多数 Linux 发行版）中，日志文件通常由 rsyslog / systemd-journald 管理，权限设置要兼顾安全和可审计。下面按常见场景说明。

一、系统日志默认权限（参考）

Debian 默认日志位置及权限：

/var/log/syslog      -rw-r-----  root adm
/var/log/auth.log    -rw-r-----  root adm
/var/log/messages    -rw-r-----  root adm

关键点：

• 属主：root
• 属组：adm
• 权限：640（-rw-r-----）

adm 组用户可读取日志（如运维账号）。

二、修改日志文件权限（不推荐直接 chmod）

1. 临时修改（重启可能失效）

sudo chmod 644 /var/log/syslog
sudo chown root:adm /var/log/syslog

⚠️ 不推荐，rsyslog 重启后会重置。

2. 通过 rsyslog 永久设置权限（推荐）

编辑 rsyslog 配置：

sudo nano /etc/rsyslog.conf

示例（创建并设置权限）：

$FileCreateMode 0640
$FileOwner root
$FileGroup adm

或针对某日志：

auth.* /var/log/auth.log
& stop
$FileCreateMode 0640
$FileOwner root
$FileGroup adm

重启 rsyslog：

sudo systemctl restart rsyslog

三、systemd journal 日志权限

journal 日志位置：

/var/log/journal/

权限由 systemd 控制：

ls -ld /var/log/journal
drwxr-x--- root systemd-journal

让普通用户读 journal：

sudo usermod -aG systemd-journal 用户名

或修改：

/etc/systemd/journald.conf

Storage=persistent

四、让某用户能看日志（推荐做法）

方法 1：加入 adm 组

sudo usermod -aG adm 用户名

方法 2：sudo 控制

sudo tail -f /var/log/syslog

五、安全建议（重要）

❌ 不要：

• 把日志设为 777
• 给 www-data 等服务账号读全部日志

✅ 建议：

• 日志权限 640
• 使用 logrotate 管理
• 敏感日志（auth.log）严格限制

如果你有具体需求（比如：

• 让 Web 服务读日志
• Docker 容器读日志
• 多用户服务器
• 审计合规）

可以告诉我，我给你定制方案。