云主机访问权限管理的核心，是明确“谁可以访问、可以访问什么、在什么条件下访问，以及访问后如何追溯”。如果账号权限长期不清理、共享密钥缺少保护，或运维操作没有留下完整记录，云主机就可能面临未授权登录、误操作和权限扩散等风险。安全配置应从身份、权限、网络和审计四个方面同时推进。
一、先梳理账号与访问对象
开始配置前，应建立云主机、业务系统、运维人员和服务账号之间的对应关系。不要只关注管理员账号，还要检查临时账号、自动化部署账号、监控账号及第三方维护账号。
区分人员账号与服务账号
人员账号应与具体员工或岗位绑定，避免多人共用一个高权限账号。服务账号用于部署、备份或监控时，应限制其只能访问必要目录、接口和主机。人员离职、岗位调整或项目结束后，应及时停用不再需要的账号。
建立权限清单
权限清单至少应记录账号名称、所属人员或系统、允许访问的主机、登录方式、权限级别、使用期限和负责人。对于临时授权，建议设置明确的起止时间，并在任务结束后回收。
二、采用最小权限原则进行授权
权限分配应以完成工作所需的最低权限为边界，而不是默认授予管理员权限。最小权限原则可以减少单个账号被盗后造成的影响，也能降低误删文件、误改配置的概率。
- 按照岗位或任务划分权限组，例如只读查看、应用运维、数据库维护和系统管理。
- 将普通操作与高风险操作分开，日常登录优先使用普通账号，需要提权时再执行受控操作。
- 限制可执行的命令、可访问的目录和可连接的网络范围，避免权限范围过大。
- 定期复核权限，对长期未使用、职责不明或超过业务需要的权限进行删除或降级。
对高权限操作，可以结合堡垒机或集中运维平台进行审批、授权和录屏留痕。具体能力取决于所使用的云平台和安全产品，配置时应以实际功能为准。
三、加强身份认证与登录控制
身份认证是云主机访问权限管理的第一道防线。建议优先使用密钥认证，并为管理入口启用多因素认证。密码登录若确有业务需要，应设置复杂度、失败锁定、过期和重试限制等策略。
密钥使用注意事项
- 为不同人员和系统分别生成密钥，不共享私钥。
- 私钥只保存在受控设备或密钥管理系统中，不直接放入代码仓库、聊天记录或公开存储空间。
- 人员变更、设备丢失或疑似泄露时，立即撤销旧密钥并重新分发。
- 对长期不使用的密钥进行清理，并保留必要的变更记录。
登录入口还应限制来源网络。可以结合安全组、防火墙或 VPN，仅允许办公网络、运维网络和必要的自动化节点访问管理端口。直接向所有公网地址开放远程管理端口会扩大暴露面，应谨慎评估。
四、设计网络与权限的双重边界
账号权限并不能替代网络隔离。生产、测试和开发环境应根据业务需求进行区分，数据库、缓存等内部组件不宜直接暴露到公网。安全组规则应遵循默认拒绝、按需放行的思路，并明确来源地址、目标端口和用途。
| 控制对象 | 建议做法 | 检查重点 |
|---|---|---|
| 管理端口 | 限制来源地址或通过专用运维通道访问 | 是否存在全网开放规则 |
| 普通账号 | 仅授予岗位所需权限 | 是否拥有不必要的提权能力 |
| 服务账号 | 限制主机、目录和接口范围 | 是否存在长期闲置账号 |
| 临时权限 | 设置有效期并审批 | 任务结束后是否已回收 |
五、建立审计与复核机制
有效的审计不仅要记录登录成功，还应关注登录失败、权限变更、密钥替换、提权、敏感文件修改和高风险命令执行。审计日志应包含操作者、时间、来源地址、目标主机、操作内容和结果等信息。
- 启用云平台、操作系统和关键应用的审计日志，并统一明确保存位置。
- 为异常登录、短时间多次失败、非工作时段高权限操作等行为设置告警规则。
- 按固定周期复核账号、密钥、安全组和高权限操作记录。
- 发现异常时，先限制相关账号或密钥，再核查日志、保留证据并完成整改。
日志保存周期和告警方式应结合业务重要性、合规要求及平台能力确定。审计记录本身也需要访问控制，避免被无关人员修改或删除。
六、可执行的配置检查流程
- 盘点全部云主机、账号、密钥、管理入口和安全组规则。
- 标识管理员、普通运维、服务账号和临时账号，确认每个账号的负责人。
- 按照最小权限原则调整授权，删除无业务依据的高权限和长期闲置权限。
- 启用多因素认证、密钥保护和必要的网络访问限制。
- 检查审计日志是否覆盖登录、提权、权限变更和关键配置修改。
- 形成整改清单，记录问题、负责人、完成时间和复核结果。
常见问题
是否可以多人共用一个管理员账号？
不建议。独立账号便于区分责任、撤销权限和开展审计。确需紧急使用时，也应通过受控流程完成授权。
只使用密钥认证就足够安全吗？
不一定。还应保护私钥、限制来源网络、控制权限范围，并结合多因素认证和日志审计降低风险。
多久应复核一次权限？
应根据业务变化和风险等级制定周期。人员变更、项目结束、密钥疑似泄露或发生异常事件时，应立即复核。
审计日志只记录登录信息可以吗？
不够。还应覆盖提权、权限变更、密钥操作和关键配置修改，才能支持问题定位与责任追溯。
做好云主机访问权限管理，需要把授权、认证、网络隔离和审计作为连续流程，而不是一次性配置。通过清晰的账号责任、适度的权限范围、受控的登录入口和持续的日志复核，可以更早发现风险并降低运维失误带来的影响。
