在Linux系统中创建只读账号的核心方法是利用sudoers文件的NOPASSWD权限限制，结合目录权限的chmod chown控制，确保用户仅能读取特定资源而无法执行写操作或提权命令。
很多运维新手在分配服务器权限时,往往陷入“要么全权管理，要么完全隔离”的极端误区，构建一个安全的只读环境并非高不可攀的技术壁垒，而是一套标准化的权限组合拳，这不仅能满足审计合规要求，还能有效防止误操作导致的线上事故，我们将深入拆解这一过程，从基础概念到实战配置，帮你彻底搞懂Linux只读账号的搭建逻辑。
为什么需要Linux只读账号？
在团队协作或外包交付场景中,核心痛点在于“信任成本”与“操作边界”的平衡，业内专家指出，超过半数的生产环境事故源于拥有过高权限的内部人员或第三方运维人员的误操作，只读账号的存在，本质上是在系统安全与协作效率之间建立的一道防火墙。
最小权限原则的实践
最小权限原则（Least Privilege）是信息安全领域的基石，它要求每个用户或程序仅拥有完成其任务所必需的最小权限集合，对于只读账号而言，这意味着：
- 禁止写入：无法修改配置文件、日志文件或应用程序代码。
- 禁止执行特权命令：无法使用sudo获取root权限，无法安装软件包。
- 禁止删除：无法删除任何文件或目录，包括临时文件。
这种限制并非为了刁难用户,而是为了锁定风险，当账号权限被严格限定在“查看”层面时，即使账号密码泄露，攻击者也无法在系统中留下持久化后门或破坏关键业务数据。
场景化需求分析
不同的业务场景对只读账号的需求截然不同,理解这些场景有助于精准配置：
- 审计合规：金融、医疗等行业要求所有操作可追溯，只读账号配合日志审计，可确保“只看不改”，满足等保2.0等合规要求。
- 故障排查：开发人员或测试人员需要查看日志定位问题，但不具备修改代码的权限，赋予其特定日志目录的只读权限，既解决了问题，又保障了安全。
- 外包交付
：第三方运维人员仅需监控系统状态，无需接触核心业务逻辑，通过只读账号隔离，可避免核心数据泄露风险。
如何创建Linux只读账号？
创建只读账号并非简单地新建一个用户,而是需要结合用户管理、权限控制和命令限制三个维度进行综合配置，以下是经过验证的标准操作流程。
第一步：创建基础用户
使用useradd命令创建新用户，建议为只读账号指定一个独立的Shell，如/bin/false或/usr/sbin/nologin，从源头上禁止交互式登录。
sudo useradd -s /bin/false readonly_user
如果该用户需要通过SFTP等方式访问文件,但禁止SSH登录，可以使用/usr/sbin/nologin，若需允许特定目录的SFTP访问，可结合Chroot Jail技术，但这超出了基础只读账号的范畴，此处暂不展开。
第二步：配置Sudoers权限
这是实现“只读”的关键步骤，我们需要编辑/etc/sudoers文件，或使用visudo命令安全地添加规则，目标是允许该用户执行特定的只读命令，同时禁止所有写操作和提权命令。
假设我们需要允许用户查看系统状态、日志和进程信息，可以添加如下规则：
readonly_user ALL=(ALL) NOPASSWD: /usr/bin/top, /usr/bin/htop, /usr/bin/ps, /usr/bin/journalctl, /usr/bin/cat, /usr/bin/less, /usr/bin/tail, /usr/bin/head, /usr/bin/grep
注意以下几点：
- NOPASSWD：免密执行，提升用户体验，但需确保命令本身的安全。
- 命令白名单：仅列出必要的只读命令，严禁包含
rm、mv、cp、chmod、chown、vi、nano等可能涉及修改或删除的命令。 - 路径绝对化：必须使用命令的绝对路径，防止用户通过PATH环境变量劫持命令。
第三步：限制文件目录权限
即使Sudoers配置了白名单,用户仍可能通过普通权限访问某些敏感文件，必须对文件系统权限进行严格管控。
核心业务目录保护
对于包含敏感数据的目录,如/etc、/var/log、
/opt/app等，应设置严格的权限：
sudo chown -R root:root /opt/app sudo chmod -R 750 /opt/app
这样,只有root用户和app所属组的成员可以读写，其他用户（包括readonly_user）只能读取（如果设置了444或450）或完全无法访问。
日志文件特殊处理
日志文件通常由root或特定服务用户生成,普通用户无法读取，我们需要将readonly_user加入日志服务组（如adm或syslog），或修改日志文件的权限：
sudo usermod -aG adm readonly_user sudo chmod 644 /var/log/syslog
通过这种方式,readonly_user可以读取日志文件，但无法修改或删除它们。
只读账号的安全加固与监控
创建账号只是第一步,持续的安全监控和加固才是保障系统长期稳定的关键。
命令执行审计
即使限制了Sudo权限,仍需记录用户的所有操作，Linux系统提供了完善的审计机制：
- Auditd：配置auditd规则，监控只读用户对敏感文件的访问行为。
- Syslog：确保所有Sudo命令的执行记录被写入系统日志，便于后续追溯。
定期权限审查
权限配置不是一劳永逸的,建议每季度进行一次权限审查：
- 检查Sudoers文件：确认是否有新增的、不必要的命令权限。
- 检查用户组：确认只读用户是否被意外加入了具有写权限的组。
- 检查文件权限：确认敏感目录的权限未被意外放宽。
对比：只读账号 vs 普通账号
| 特性 | 普通账号 | 只读账号 |
|---|---|---|
| Shell登录 | 允许 | 禁止或限制 |
| Sudo提权 | 允许（需密码） | 禁止或仅允许只读命令 |
| 文件写入 |
允许（在所属目录） | 禁止 |
| 命令执行 | 所有命令 | 仅白名单命令 |
| 适用场景 | 日常开发、管理 | 审计、监控、故障排查 |
常见误区与避坑指南
在实际操作中,许多运维人员容易陷入一些误区，导致只读账号形同虚设。
仅靠目录权限实现只读
仅设置目录权限为只读,用户仍可通过sudo获取root权限，从而绕过目录限制，必须结合Sudoers配置，从命令层面进行限制。
白名单包含危险命令
如果在白名单中包含了vi、nano或python等编辑器或脚本解释器，用户可能通过这些工具间接修改文件内容，务必确保白名单中仅包含纯粹的只读查看命令。
忽视命令路径劫持
用户可能通过修改PATH环境变量,将恶意脚本命名为ls或cat，从而绕过Sudoers的路径限制，Sudoers配置中必须使用命令的绝对路径，并禁用用户的环境变量继承（默认情况下，sudo会重置环境变量，但需确认配置无误）。
Q&A：Linux只读账号常见问题解答
如何防止只读用户通过sudo获取root权限？
确保/etc/sudoers文件中没有将该用户添加到%wheel或%sudo组中，且未配置任何允许ALL命令的规则，仅允许执行具体的只读命令，并使用绝对路径。
只读账号能否查看加密文件？
如果文件本身是加密的（如GPG加密），且用户没有解密密钥，则无法查看内容，如果文件是明文但权限设置为只读，用户只能读取，无法修改，关键在于文件系统的权限控制，而非账号类型。
只读账号在CentOS和Ubuntu上的配置有区别吗？
核心逻辑一致,但命令路径和默认组可能略有不同，Ubuntu中日志用户通常属于adm组，而CentOS中可能属于root，需根据具体发行版调整组权限和日志文件路径。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/464379.html
