SSH密钥轮换与权限最小化：云服务器账号安全运维指南

一、禁止多人共用 root 和同一把密钥

多人共用 root 账号看似方便，但出现误操作或异常登录时很难追责，也无法精确收回某个人的权限。建议为每位运维人员创建独立账号，通过 sudo 授权执行必要命令，并记录 sudo 操作日志。SSH 密钥也应按人员或系统单独分发，避免一把私钥同时用于多台服务器、多个团队和多个自动化任务。

• 关闭 root 密码直登，优先使用普通账号加 sudo。
• 密钥备注中写清用途、负责人和创建时间。
• 自动化任务使用独立账号，不与人工运维账号混用。

二、建立密钥轮换和回收机制

密钥并不是配置一次就永久安全。人员变动、电脑丢失、外包交付、项目下线、权限调整时，都应触发密钥回收或轮换。建议至少每季度检查一次 authorized_keys，删除无法确认来源的公钥，并为关键服务器制定固定轮换周期。轮换前要先验证新密钥可用，再移除旧密钥，避免把自己锁在服务器外。

• 先新增新公钥并测试登录，再删除旧公钥。
• 离职或合作结束后立即回收对应账号和密钥。
• 发现私钥疑似泄露时，应同时检查登录日志和命令历史。

三、sudo 权限按任务授权，不给长期全权

最小权限原则要求账号只拥有完成工作所需的权限。日常巡检账号不应拥有修改系统用户、关闭防火墙、删除备份、重启数据库等高危能力。对于必须执行的高危命令，可以通过 sudoers 精确到命令路径和参数范围。临时权限要设置到期时间，任务结束后及时撤销，不要让临时授权变成永久权限。

• 把发布、备份、监控、数据库维护账号拆开管理。
• 高危命令执行前要求二次确认或审批记录。
• 不要给脚本账号配置无需密码的全量 sudo 权限。

四、用日志和告警发现异常登录

账号安全离不开持续审计。应关注非办公时间登录、异常国家或地区 IP、短时间多次失败、首次出现的新设备、sudo 提权失败、authorized_keys 被修改等事件。对于核心服务器，可以把 SSH 日志同步到远程日志平台，避免攻击者进入后删除本机记录。若发现异常登录，要优先冻结账号、保留现场、检查新增用户和计划任务，再逐步排查业务影响。

• 登录成功和失败都要记录，不只看成功登录。
• authorized_keys、sudoers、crontab 变更应纳入重点审计。
• 安全事件处理后，要复盘账号权限和密钥管理流程。