17.10.6 最小权限与运维审计实践

最小权限与运维审计实践的核心目标是：任何账号、组件与自动化流程仅拥有完成任务所需的最小权限，并对所有关键操作形成可追溯、可复盘的审计链路。以下内容给出原理草图、落地示例、安装与排错步骤及练习。

最小权限与审计协同原理（草图）

账号与权限模型落地（示例）
- 账号分层：运维账号、只读查询账号、自动化采集账号、集成账号。
- 权限最小化：对Prometheus只读、对Grafana仅查看、对Alertmanager仅静默。

示例：为Prometheus创建最小权限系统用户

# 创建不可登录的采集账号
useradd -r -s /sbin/nologin prometheus

# 授权访问配置与数据目录
install -d -o prometheus -g prometheus /etc/prometheus /var/lib/prometheus

# 验证账号是否能读取必要目录
sudo -u prometheus ls -l /etc/prometheus /var/lib/prometheus

命令解释：
- useradd -r -s /sbin/nologin 创建系统用户并禁用交互登录。
- install -d -o -g 创建目录并指定属主属组。
- sudo -u 用指定用户验证权限。

反向代理最小权限与基本认证（示例）
以Nginx限制Prometheus/Alertmanager的访问入口。

# 安装Nginx与htpasswd工具
yum -y install nginx httpd-tools

# 创建只读用户
htpasswd -cb /etc/nginx/.htpasswd prom_view StrongPass123
# 创建管理用户
htpasswd -b /etc/nginx/.htpasswd prom_admin StrongAdmin456

Nginx配置：

# /etc/nginx/conf.d/prometheus.conf
server {
    listen 9090;
    server_name prom.example.com;

    # 只读权限：/api/v1/query 仅允许查询
    location /api/v1/query {
        auth_basic "Prometheus ReadOnly";
        auth_basic_user_file /etc/nginx/.htpasswd;
        proxy_pass http://127.0.0.1:9090;
    }

    # 管理接口限制：/api/v1/admin 仅允许管理用户（示意）
    location /api/v1/admin {
        auth_basic "Prometheus Admin";
        auth_basic_user_file /etc/nginx/.htpasswd;
        proxy_pass http://127.0.0.1:9090;
        allow 10.0.0.0/24;
        deny all;
    }
}

启用并验证：

nginx -t && systemctl enable --now nginx
curl -u prom_view:StrongPass123 http://prom.example.com:9090/api/v1/query?query=up

预期效果：
- 仅带正确账号可访问。
- 管理接口仅白名单网段可访问。

Exporter最小权限运行（示例）
以node_exporter为例，避免root。

# 创建用户
useradd -r -s /sbin/nologin nodeexp

# 安装并限制能力
tar xf node_exporter-1.6.1.linux-amd64.tar.gz -C /usr/local/bin --strip-components=1
chown nodeexp:nodeexp /usr/local/bin/node_exporter

# systemd服务
cat >/etc/systemd/system/node_exporter.service <<'EOF'
[Unit]
Description=Node Exporter
After=network.target

[Service]
User=nodeexp
Group=nodeexp
ExecStart=/usr/local/bin/node_exporter \
  --web.listen-address=:9100 \
  --collector.systemd
Restart=on-failure

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now node_exporter

命令解释：
- User/Group 保证非root运行。
- --collector.systemd 仅开启必要采集器。

审计日志采集与留存（示例）
对Nginx访问日志进行集中采集，可由Promtail/rsyslog等。

# Nginx日志格式包含账号与请求
log_format audit '$remote_addr - $remote_user [$time_local] '
                 '"$request" $status $body_bytes_sent '
                 '"$http_referer" "$http_user_agent"';

access_log /var/log/nginx/prom_audit.log audit;

Promtail示例采集：

# /etc/promtail/config.yml
server:
  http_listen_port: 9080
positions:
  filename: /var/lib/promtail/positions.yaml
clients:
  - url: http://loki.example.com:3100/loki/api/v1/push
scrape_configs:
  - job_name: prom_audit
    static_configs:
      - targets: [localhost]
        labels:
          job: prom_audit
          __path__: /var/log/nginx/prom_audit.log

变更管理与配置审计（示例）
将Prometheus配置与规则纳入Git，并启用变更评审。

# 初始化配置仓库
cd /etc/prometheus
git init
git add prometheus.yml rules/
git commit -m "init prometheus config"

# 修改后提交
git add prometheus.yml rules/
git commit -m "update alert rules for disk usage"

命令解释：
- 任何变更都有提交记录，便于追溯回滚。

安装与排错清单
- 安装依赖：Nginx、htpasswd、Promtail/rsyslog。
- 常见问题与排错命令：

# 认证失败排查
grep -n "auth_basic" /etc/nginx/conf.d/prometheus.conf
tail -n 50 /var/log/nginx/error.log

# 权限不足排查
sudo -u prometheus cat /etc/prometheus/prometheus.yml

# 端口访问排查
ss -lntp | grep -E "9090|9100|9093"
curl -I http://127.0.0.1:9090

预期效果：
- 认证失败时能定位到配置错误或账号文件问题。
- 权限不足时能通过sudo测试快速确认。

练习与验收
- 练习1：创建只读与管理用户，并验证访问限制是否生效。
- 练习2：让node_exporter以非root用户运行并确认指标可采集。
- 练习3：修改告警规则并提交Git，验证审计链路可追溯。
- 练习4：断开审计采集，观察告警或日志缺失是否能被识别。

通过最小权限与审计实践的制度化落地，可显著降低监控系统被误操作与被攻击的风险，提升告警可靠性与运维合规性。