服务器运维怎样审计ACL

服务器运维中对 ACL（访问控制列表，Access Control List） 的审计，核心目标是：确认“谁、在什么条件下、能对什么资源、做什么操作”是合理的、最小权限的、可追溯的。

下面从 审计对象、审计方法、工具、流程、常见问题 几个层面说明。

一、明确要审计的 ACL 类型

不同层面的 ACL 审计重点不同：

1. 操作系统层 ACL

   • Linux：getfacl、ls -l、SELinux、AppArmor
   • Windows：NTFS ACL、共享权限

2. 网络层 ACL

   • 防火墙（iptables / nftables / 云安全组）
   • 路由器 / 交换机 ACL
   • 负载均衡 / 反向代理访问控制

3. 应用 / 服务层 ACL

   • 数据库（MySQL / PostgreSQL 权限）
   • 中间件（Nginx、Redis、Kafka）
   • 业务系统角色权限（RBAC + ACL）

4. 云原生 ACL

   • K8s：RBAC、NetworkPolicy
   • 云厂商：IAM 策略、RAM 策略

二、ACL 审计的核心内容

1. 权限最小化审计

• 是否存在 过高权限
  • root / Administrator 滥用
  • *.* 数据库权限
  • 0.0.0.0/0 放行
• 是否按 业务需要 授权

2. 账号与主体审计

• 用户 / 组是否合理
• 是否存在：
  • 僵尸账号
  • 共享账号
  • 离职人员未回收权限

3. 资源暴露面审计

• 是否对外暴露敏感端口
• 是否内部服务可被越权访问
• 是否跨网段 / 跨环境访问

4. 变更审计

• ACL 是否有：
  • 审批记录
  • 变更时间
  • 操作人
• 是否可回滚

5. 日志与可追溯性

• 是否记录：
  • 访问拒绝日志
  • 权限变更日志
• 日志是否防篡改

三、常用审计方法与命令

Linux 文件 ACL 审计

getfacl -R /data > acl_backup.txt

对比历史快照：

diff old_acl.txt new_acl.txt

防火墙 ACL 审计

iptables-save
nft list ruleset

云安全组：

• 导出安全组规则
• 检查入站是否包含：0.0.0.0/0

数据库 ACL 审计

-- MySQL
SELECT * FROM mysql.user;
SELECT * FROM mysql.db;

K8s ACL 审计

kubectl get rolebindings --all-namespaces
kubectl get clusterrolebindings

四、自动化与持续审计

1. 配置合规扫描

• OpenSCAP
• Lynis
• CIS Benchmark

2. 版本化管理 ACL

• 将 ACL 写入 Git
• 通过 CI 做 diff 与告警

3. 定期审计报告

• 每月生成：
  • 高危 ACL 清单
  • 异常变更清单
• 推送至安全 / 运维负责人

五、典型风险与整改建议

六、总结一句话

ACL 审计不是“看一眼权限”，而是建立“授权—使用—变更—回收”的闭环。

如果你能说明是 哪类服务器 / 哪一层 ACL（系统、网络、云、K8s、数据库），我可以给你更具体的审计清单或脚本。