运维的必要步骤(补充中)

  1. 永久关闭SELinux

一、临时修改

[bonc@hadoop102 ~]$ getenforce

Enforcing  # Enforcing为开启,Permissive为关闭

[bonc@hadoop102 ~]$ setenforce 0

二、永久修改配置文件

[root@localhost ~]# vi /etc/selinux/config

将 SELINUX=enforcing改为 SELINUX=disabled 注意不是SELINUXTYPE

 

重启服务器 reboot

重启后,运行命令sestatus

如修改错误:可能会出现问题:

 

Failed to load SELinux policy freezling

解决办法:

  1. 重启系统时候在如下页面选择你要进的内核,按 E ,grub编辑页面。
  2. .通过键盘的向上或向下箭头,找到linux16那行 在LANG=zh_CN.UTF-8 空格 加上 selinux=0或者 enforcing=0

 

3不要退出页面,在此处使用Ctrl+x启动,进入系统即可。

  1. 永久关闭防火墙

查看状态

[root@hadoop104 ~]# systemctl status firewalld

[root@localhost ~]# systemctl stop firewalld

 [root@localhost ~]# systemctl disable firewalld.service

  1. 部署常用环境

JDK安装:

1. 永久修改,对所有用户有效

# vi /etc/profile

//按键盘[Shift + g], 在profile文件最后添加下面的内容:

export JAVA_HOME = /home/myuser/jdk1.8

export PATH = $JAVA_HOME/bin:$PATH

export CLASSPATH=.:$JAVA_HOME/lib/dt.jar:$JAVA_HOME/lib/tools.jar

#source /etc/profile

2. 永久修改,对单一用户有效

//修改用户目录下的.bash_profile文件

$ vi /home/myuser/.bash_profile

//在文件最后添加下面的内容

export JAVA_HOME = /home/myuser/jdk1.8.0_03

export PATH = $JAVA_HOME/bin:$PATH

export CLASSPATH=.:$JAVA_HOME/lib/dt.jar:$JAVA_HOME/lib/tools.jar

#source /home/myuser/.bash_profile

QA:

安装java出现如下错误(jdk-8u201-linux-arm64-vfp-hflt.tar.gz

 

解决方法

换成jdk-8u201-linux-x64.tar.gz就行了,原因是安装包和Linux版本不匹配

 

4. 部署常用脚本

1.内存优化:

开始清理 echo 1 > /proc/sys/vm/drop_caches

日志清理:

备份脚本:

监控脚本:

<think> 嗯,用户想了解运维工作中账号授权与配置的方法及要点。从引用内容看,涉及权限管理、安全配置等核心运维工作。 用户可能是个刚入行的运维工程师,正面临账号权限分配的实际问题。ta特意强调"方法及要点",说明需要实操指导而非纯理论。引用[2][3][4]中提到的权限分配、SSH密钥设置、特权端口处理等内容特别相关。 需要重点覆盖几个维度:首先是权限授予原则,比如最小权限和角色分离;其次是具体实施方式,包括系统账号创建、权限分配工具使用;最后是安全加固要点,如密钥管理和特权控制。引用[3]提到的sudo临时提权和setcap命令处理特权端口的方法很实用,应该纳入回答。 考虑到运维工作的系统性,还要补充账号配置与服务器部署的关系。引用[1]提到配置与部署是"先配置后部署、配置支撑部署"的关系,这个认知框架对新手很重要。可以结合Linux启动流程(引用[5])说明账号配置在系统初始化阶段的作用。 安全方面要强调密钥权限设置(引用[4]的0600权限)和审计要求。最后用示例命令展示用户组管理和sudoers配置会更直观,同时提醒测试验证环节——毕竟引用[3]的whoami验证法就是很好的实践。 </think>以下是运维工作中账号授权与配置的核心方法及要点,结合安全规范和最佳实践进行系统化说明: --- ### **一、账号授权核心原则** 1. **最小权限原则** - 用户仅拥有完成职责所必需的最低权限(引用[3])。 - **实现方式**: - Linux:通过 `sudo` 精细控制命令权限(如 `visudo` 配置 `/etc/sudoers`): ```bash # 允许用户tom仅重启nginx tom ALL=(root) /usr/bin/systemctl restart nginx ``` - Windows:使用“安全策略”分配特定目录读写权限(引用[3])。 2. **角色分离(SoD)** - 关键操作(如审计、部署)需多人共管,避免单账号权限集中(引用[2])。 3. **定期权限审计** - 周期性审查账号权限,清理冗余账户(如离职人员账号)。 --- ### **二、账号配置关键步骤** #### **1. 系统级账号创建** - **Linux**: ```bash useradd -m -s /bin/bash deploy_user # 创建部署专用账号 usermod -aG docker,nginx deploy_user # 加入必要用户组 ``` - **Windows**: 通过“计算机管理”创建受限用户,禁止交互式登录。 #### **2. 权限分配工具** - **Linux**: - `chown`/`chmod` 控制资源权限: ```bash chown -R deploy_user:deploy_group /app # 目录归属 chmod 750 /app # 属主可读写执行,属组可读执行 ``` - `setcap` 授权非root绑定特权端口(引用[3]): ```bash setcap CAP_NET_BIND_SERVICE=+eip /usr/local/tomcat/bin/catalina.sh ``` #### **3. 服务账号安全加固** - 禁用交互式登录(如设置 `/sbin/nologin`)。 - 密钥权限严格限制(引用[4]): ```bash chmod 600 ~/.ssh/id_rsa # 私钥权限设为0600 ``` --- ### **三、特权操作管理规范** | **场景** | **方法** | |-------------------|--------------------------------------------------------------------------| | 临时提权 | Linux:`sudo`;Windows:以管理员身份运行(引用[3]) | | 长期特权进程 | 通过 `systemd` 服务配置 User/Group 字段(避免直接使用 root) | | 密钥认证 | 控制节点私钥权限0600,目标主机 `authorized_keys` 公钥校验(引用[4]) | --- ### **四、审计与监控要点** 1. **日志记录** - 启用 `sudo` 日志(`/var/log/secure`),记录特权命令执行。 2. **会话跟踪** - 使用 `whoami`(Linux)或 `echo %username%`(Windows)实时验证当前用户(引用[3])。 3. **配置版本化** - 将账号权限配置(如 `/etc/sudoers`)纳入 Git 版本控制。 --- ### **五、与部署流程的协作关系** - **配置先行**:服务器初始化阶段完成账号授权(引用[1]的“配置支撑部署”)。 - **部署反哺**:应用部署后,根据运行时权限需求(如文件读写)优化账号配置(引用[1])。 > 示例:应用需写日志至 `/var/log/app` → 授权应用账号对该目录的写权限。 --- ### **配置验证示例** ```bash # 1. 验证用户权限 sudo -l -U deploy_user # 查看sudo权限 # 2. 检查文件权限 ls -ld /app # 确认属主和权限位 # 3. 测试特权操作(以非root执行) sudo -u deploy_user systemctl reload nginx ```
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

zhangfish520

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值