---
title: 确保关键文件、目录权限最小化
description: "按照权限最小化原则，系统中的关键文件，特别是包含敏感信息的文件，必须设置正确的最小访问权限。确保只有具备相应权限的用户可以访问，目录也应遵循相应要求。文件或目录权限设置不当，可能导致敏感信息泄露。例如，访问权限设置644或更高，所有用户均可访问，甚至可能被篡改；若只有root用户可执行的程序，却设置为755权限，将允许任意用户执行，从而引入提权风险。"
url: https://www.hikunpeng.com/document/detail/zh/kunpengcctrustzone/tee/cVMcont/kunpengtee_zjsj_openclaw_025.html
sourcePath: /source/zh/kunpengcctrustzone/tee/cVMcont/kunpengtee_zjsj_openclaw_025.html
indexId: c9f7809288ae41edfecba47c1b66ed4eb0889055c1542f84497ed371a337bf7a75
---
# 确保关键文件、目录权限最小化

按照权限最小化原则，系统中的关键文件，特别是包含敏感信息的文件，必须设置正确的最小访问权限。确保只有具备相应权限的用户可以访问，目录也应遵循相应要求。文件或目录权限设置不当，可能导致敏感信息泄露。例如，访问权限设置644或更高，所有用户均可访问，甚至可能被篡改；若只有root用户可执行的程序，却设置为755权限，将允许任意用户执行，从而引入提权风险。

常见的需要做访问权限控制的文件或目录类型有：

- 可执行文件（二进制文件、脚本）及存放可执行文件的目录。如果权限配置不当可能导致提权攻击。
- 配置文件、密钥文件、日志文件、存储有敏感信息的数据文件、系统运行时产生的临时文件、静态文件等。这些文件中可能包含敏感数据、隐私数据，如果权限配置不当会增加信息泄露的风险。

权限控制基本原则如下：

| 文件类型 | 设置值 |
| --- | --- |
| 用户主目录 | 750（rwxr\-x\-\-\-） |
| 程序文件（含脚本文件、库文件等） | 550（r\-xr\-x\-\-\-） |
| 程序文件目录 | 550（r\-xr\-x\-\-\-） |
| 配置文件 | 640（rw\-r\-\-\-\-\-） |
| 配置文件目录 | 750（rwxr\-x\-\-\-） |
| 日志文件（记录完毕或者已经归档） | 440（r\-\-r\-\-\-\-\-） |
| 日志文件（正在记录） | 640（rw\-r\-\-\-\-\-） |
| 日志文件目录 | 750（rwxr\-x\-\-\-） |
| Debug文件 | 640（rw\-r\-\-\-\-\-） |
| Debug文件目录 | 750（rwxr\-x\-\-\-） |
| 临时文件目录 | 750（rwxr\-x\-\-\-） |
| 维护升级文件目录 | 770（rwxrwx\-\-\-） |
| 业务数据文件 | 640（rw\-r\-\-\-\-\-） |
| 业务数据文件目录 | 750（rwxr\-x\-\-\-） |
| 密钥组件、私钥、证书、密文文件目录 | 700（rwx\-\-\-\-\-\-） |
| 密钥组件、私钥、证书、加密密文 | 600（rw\-\-\-\-\-\-\-） |
| 加解密接口、加解密脚本 | 500（r\-x\-\-\-\-\-\-） |


根据进程权限最小化原则，系统在执行任务时一般使用非root的普通用户。为确保该用户可以正常访问Linux系统中必要的目录和文件，对于系统运行依赖的系统目录、配置文件、可执行文件及证书文件，其相应权限可适当放宽。建议如下：

| 文件类型 | 设置值 |
| --- | --- |
| 目录 | 755（rwxr\-xr\-x） |
| 程序文件（含脚本文件、库文件等） | 755（rwxr\-xr\-x） |
| 配置文件 | 644（rw\-r\-\-r\-\-） |
| 证书文件（无私钥） | 444（r\-\-r\-\-r\-\-） |


常见的需要做访问权限控制的文件的建议权限如下：

| 文件名称 | 设置值 |
| --- | --- |
| /etc/passwd | 0644（\-rw\-r\-\-r\-\-） |
| /etc/group | 0644（\-rw\-r\-\-r\-\-） |
| /etc/shadow | 0000（\-\-\-\-\-\-\-\-\-\-） |
| /etc/gshadow | 0000（\-\-\-\-\-\-\-\-\-\-） |
| /etc/passwd\- | 0644（\-rw\-r\-\-r\-\-） |
| /etc/shadow\- | 0000（\-\-\-\-\-\-\-\-\-\-） |
| /etc/group\- | 0644（\-rw\-r\-\-r\-\-） |
| /etc/gshadow\- | 0000（\-\-\-\-\-\-\-\-\-\-） |
| /etc/ssh/sshd\_config | 0600（\-rw\-\-\-\-\-\-\-） |


1. 使用ll命令或ls -l命令查看文件权限，以test文件为例。

```
ls -l test
```


  如下为示例。

```
-rwxr-sr-t. 1 root root 33 Nov  5 14:44 test
```


2. 若权限不满足要求，请使用chmod命令修改文件权限。

```
chmod 750 test
ll
test
```


  返回信息如下。

```
-rwxr-x---. 1 root root 33 Nov  5 14:44 test
```