服务器运维中如何监控ACL状态

服务器运维中的ACL状态监控实践

一 明确监控范围与差异

• 文件系统ACL：指 POSIX ACL，作用于文件/目录，控制本地或挂载文件系统的访问权限。
• 网络ACL：指 VPC/子网级 的包过滤规则，控制子网内实例的入/出站流量，通常具备默认拒绝策略，需要显式放通。
• 负载均衡ACL：指 SLB 访问控制策略组（白名单/黑名单），常用于限制客户端来源访问负载均衡监听器。
• 服务层ACL：如 ZooKeeper 的节点ACL，控制对数据节点的读写/管理权限。以上类型监控项与手段不同，需分别覆盖。

二 文件系统ACL监控

• 基线采集与变更审计
  • 周期性对关键目录执行 getfacl -R /path > acl_baseline.txt，保存快照；后续用 diff 或脚本比对，识别新增/删除/变更的 user/group/mask/other 条目。
  • 将关键目录纳入配置管理（如 Ansible/Salt），变更需走工单与审计留痕。
• 权限有效性验证
  • 使用专用测试账号，按“读/写/执行/继承”场景验证；对目录重点验证 default ACL 是否按预期被子项继承。
  • 对业务敏感路径设置最小权限，避免因过度授权导致横向移动。
• 日志与联动
  • 关注 /var/log/auth.log、/var/log/syslog 中与访问拒绝相关的日志，与ACL变更记录交叉验证。
  • 若启用 SELinux/AppArmor，需同步检查其策略与日志（如 /var/log/audit/audit.log），避免与ACL权限叠加造成“看似ACL放行但仍被拒”的错觉。

三 网络ACL监控

• 配置与生效面核查
  • 定期导出并审计 Network ACL 规则，核对规则顺序、源/目的网段、端口与协议、入/出站方向；确认规则已正确绑定到目标 VPC/子网/接口，并关注默认拒绝策略的影响面。
  • 在云上平台使用“网络ACL”与“安全组”联动诊断工具，批量校验规则是否放通业务与必要管理流量。
• 与负载均衡/健康检查联动
  • 当后端挂载 ELB 时，确保网络ACL与健康检查协议/端口、健康检查源地址（通常为 ELB后端子网所在VPC网段）在入/出站方向均放通；否则易出现健康检查失败、后端被误隔离。
• 云资源可见性监控
  • 通过云监控/告警对 Network ACL 规则数量、关联子网数量、规则命中/拒绝趋势建立指标与阈值告警，结合 VPC/SecurityGroup/SLB 的可见性API建立统一台账与变更审计。

四 负载均衡与分布式系统ACL监控

• SLB访问控制策略组
  • 定期核对 SLB 访问控制策略组 与业务白名单的一致性，监控策略变更、来源网段覆盖与异常命中；结合 SLB 健康检查 与后端实例可用性，避免因策略误封导致大面积中断。
• 分布式协调服务ACL
  • 对 ZooKeeper 等系统，启用对节点 ACL 的读取与变更审计，监控未授权访问尝试与权限漂移；结合其可视化/命令行工具对关键 znode 的 ACL 进行周期性校验。

五 可落地的监控方案与告警示例

• 采集与对账
  • 主机侧：定时任务执行 getfacl -R 与 setfacl -k（清理默认ACL）前后对比，产出差异报告并入库。
  • 网络侧：调用云厂商 DescribeNetworkAcls/DescribeAccessControlLists 等API拉取规则清单与关联资源，纳入CMDB与配置审计。
• 指标与日志
  • 指标：规则数量、规则变更次数、ACL命中/拒绝计数（若设备支持）、ACL关联子网/实例数、SLB策略组变更频率。
  • 日志：ACL变更审计日志、访问拒绝日志、平台层操作日志（API调用）。
• 告警规则示例
  • 文件系统：关键目录的 ACL 条目数 在 5分钟 内变化超过阈值；或 getfacl 采集失败（可能挂载异常/权限不足）。
  • 网络ACL：某子网关联的 Network ACL 在 1小时 内发生变更；或 ACL 规则数 超过设计上限（复杂度风险）。
  • SLB ACL：策略组被清空/大量来源被移除；或健康检查失败率上升且 ACL 近期有变更（联动排查）。
• 验证与演练
  • 建立“最小可行用例”的 定期演练（如临时封禁某网段后验证业务与监控告警链路），确保告警、回滚与应急手册有效。