2、账号与认证管理

账号与认证管理是运维安全的第一道防线，其核心目标是确保“正确的用户，在正确的时间，以正确的方式，访问正确的资源”。本节将围绕账号生命周期管理、强密码策略以及多因素认证（MFA）在运维场景中的具体应用展开。

2.1 账号生命周期管理

运维账号从创建到销毁应遵循严格的闭环管理，避免出现“僵尸账号”或“幽灵账号”。

阶段	关键动作	安全要求
申请	提交工单，说明用途、权限范围	最小权限原则，禁止默认管理员
审批	直属领导 + 安全部门双签	记录审批日志，可追溯
使用	定期修改密码，开启操作审计	禁止共享账号，使用堡垒机
变更	权限升级/降级需重新审批	保留变更历史记录
回收	离职/转岗立即禁用，30天后删除	回收后保留日志至少6个月

2.2 强密码策略

运维账号应实施比普通用户更严格的密码策略，具体包括：

• 复杂度要求：至少12位，包含大写字母、小写字母、数字、特殊符号（如 !@#$%^&*）。
• 历史禁止：禁止使用最近5次使用过的密码。
• 锁定机制：连续5次尝试失败，账号锁定15分钟。
• 定期更换：每90天强制更换一次，关键系统可缩短至30天。
• 密码库：禁止明文存储，使用bcrypt或Argon2算法哈希。

2.3 多因素认证（MFA）在运维中的应用

MFA通过结合“你知道的（密码）”、“你拥有的（令牌/手机）”、“你是什么（生物特征）”中的至少两种因素，显著提升运维登录安全性。

应用场景	推荐MFA方式	注意事项
SSH登录服务器	TOTP（Google Authenticator）	配置PAM模块，绑定用户
堡垒机/跳板机	动态口令 + 短信验证码	确保时间同步，备用码保存
数据库管理	硬件U2F Key / 指纹	限制管理IP，结合白名单
云控制台	扫码 + 推送确认	开启异常登录告警

2.4 最佳实践代码示例（SSH + TOTP配置片段）

# 安装 Google Authenticator PAM 模块
sudo apt-get install libpam-google-authenticator -y

# 为用户生成密钥（在用户家目录执行）
google-authenticator

# 配置 SSH 使用 MFA
# 编辑 /etc/pam.d/sshd，添加：
auth required pam_google_authenticator.so

# 编辑 /etc/ssh/sshd_config，修改：
ChallengeResponseAuthentication yes
AuthenticationMethods publickey,keyboard-interactive

# 重启 SSH 服务
sudo systemctl restart sshd

要点总结：账号管理要“全生命周期覆盖”，密码策略要“强且易执行”，MFA要“按场景选型”。三者结合，可抵御90%以上的凭证泄露攻击。