你是不是也遇到过这种情况？公司就一台服务器，技术小李又管配置又管数据，结果某天误删了重要文件，查来查去也说不清到底是操作失误还是别的原因。服务器权限攥在一个人手里，就像把所有钥匙都交给一个人，风险也太大了。这时候就有人问了，服务器三权分立怎么弄出来的？能解决这种麻烦吗？别着急，今天小编就一点点给你讲明白，一起往下看吧！
到底啥是服务器三权分立？为啥非要弄这个？
服务器三权分立啊，说白了就是把服务器的管理权限拆成三块，让三拨人各管一摊，互相盯着。就像一个小团队里，有人管钱、有人管账、有人管审核，谁也不能一手遮天。这三权分别是：
- 系统管理员，管服务器的硬件、系统配置这些基础活儿，比如装个操作系统、调调网络参数啥的，但碰不了核心业务数据；
- 安全审计员，专门盯着所有人的操作，谁登录了、改了啥、删了啥，全记在日志里，就算系统管理员动了手脚也能查出来；
- 操作员，就负责具体的业务操作，比如备份数据、启动个服务，想改系统设置？没门儿。
那为啥要费这劲呢？你想啊，如果一个人又能改配置又能删数据，还没人监督，真出了事儿，是误操作还是故意的，都说不清。三权分立就是为了划清责任，降低风险，尤其是数据敏感的公司，这步必不可少。小编之前见过一家小公司，就因为没搞这个，技术员离职前删了客户资料，最后赔了不少钱，多不值啊。
具体咋操作？不同系统弄法一样吗？
想弄三权分立，得按步骤来，急不得。咱分系统说说，毕竟 Windows 和 Linux 服务器操作不一样。
先说说 Linux 服务器（就拿常用的 CentOS 举例）：
- 先建三个账户，用 useradd 命令分别建 sysadmin（系统管理员）、audit（审计员）、operator（操作员），密码设复杂点，别让人轻易猜到；
- 给权限的时候得抠细点，编辑 /etc/sudoers 文件，比如让 sysadmin 能执行 systemctl 命令管理服务，但不能用 rm -rf 这种危险命令删东西；operator 呢，只给个 ftp 权限传文件就行；
- 审计日志得单独弄，启动 auditd 服务，把关键目录比如 /etc、/var/log 这些都监控起来，谁动过立马记下来，而且这日志得让 audit 账户单独管，sysadmin 都删不了。
再说说 Windows Server：
- 在 “计算机管理” 里新建三个本地用户，分别对应三个角色；
- 权限分配在 “本地安全策略” 里弄，比如把 sysadmin 加到 Administrators 组，但通过组策略禁止他删除事件日志；audit 用户就加到 Event Log Readers 组，只能看不能改；
- 审计策略得开细点，在 “组策略编辑器” 里勾上 “审核登录事件”“审核对象访问”，确保每个操作都有记录。
有人可能会问，小公司就一两台服务器，没人手弄三个角色咋办？其实也能变通，比如让老板兼着审计员，每周花十分钟看看日志，虽然不专业，但至少有个人盯着，总比没人管强。
要是不弄三权分立，会出啥问题？
可能有人觉得，我这服务器没啥重要东西，不用这么麻烦吧？那可就错了。小编给你数数可能出的岔子：
- 权限太集中，万一账号被盗，黑客能直接拿到所有权限，删数据、改配置，想咋折腾咋折腾；
- 出了操作失误，比如误删了数据库，因为没日志记录，查不清是谁干的，责任没法分，团队里还可能互相猜忌；
- 要是公司想做等保认证，三权分立是基本要求，弄不了这个，认证根本过不了，好多业务都没法接。
之前有个朋友的公司，就是因为没搞三权分立，技术员手滑删了半年的销售数据，最后花了好几万找数据恢复公司，还耽误了业务，多冤啊。所以啊，不管服务器重要不重要，这一步最好还是弄上，花不了多少功夫，能省不少麻烦。
其实啊，服务器三权分立看着复杂，真上手弄了也没那么难。关键是一开始就把权限划清楚，别嫌麻烦。小公司可以简单点，先把最核心的权限分开，以后再慢慢完善。小编觉得，安全这事儿就像盖房子，地基得打牢，不然楼盖得再高也容易塌。希望这些能帮到你，赶紧看看自己的服务器，该弄的赶紧弄起来吧！
