服务器账户管理办法，具体如何落地执行与权限管理？

总则

服务器账户是保障信息系统安全运行的基础,其管理直接关系到数据安全、业务连续性及合规性，为规范服务器账户的全生命周期管理，明确责任分工，防范未授权访问和操作风险，特制定本办法，本办法适用于组织内所有物理服务器、虚拟服务器及云服务器的账户管理，涵盖账户创建、使用、变更、注销等全流程，相关管理部门、运维团队及账户使用者均需严格遵守。

账户分类与分级

根据权限范围和使用场景,服务器账户分为系统账户、应用账户及个人账户三类，并实施分级管理：

系统账户

用于操作系统、数据库、中间件等系统级组件的运行与管理，包括root（Linux）、Administrator（Windows）等超级管理员账户及系统服务账户，此类账户权限最高，需严格控制数量，仅允许在系统初始化、重大故障处理等场景临时启用，日常操作禁用直接登录。

应用账户

用于部署应用程序、执行业务逻辑的专用账户，如Web服务账户、数据库读写账户等，此类账户遵循“最小权限”原则，仅授予完成业务功能所需的必要权限，禁止具备系统管理功能。

个人账户

供员工个人登录服务器执行操作或访问资源的账户,与员工工号一一对应，按岗位需求分配权限，个人账户实行“一人一账”制，严禁共用、私设或转借他人使用。

账户申请与审批

账户创建需遵循“按需申请、分级审批、流程留痕”原则，确保账户分配的合规性与必要性：

申请流程

• 申请人：填写《服务器账户申请表》，注明账户类型、使用目的、所需权限、申请部门、使用期限等信息，并由部门负责人签字确认。
• 审批人：
  • 系统账户：需信息技术部负责人及分管副总双审批；
  • 应用账户：需应用系统负责人及信息技术部审批；
  • 个人账户：需部门负责人及信息技术部审批。
• 执行人：信息技术部运维团队在收到审批通过的申请表后，2个工作日内完成账户创建，并通过加密邮件将初始密码告知申请人，同时要求首次登录强制修改密码。

权限核定

账户权限需根据岗位职责严格核定,开发人员仅授予测试环境操作权限，运维人员仅授予生产环境监控与故障处理权限，禁止越权申请，对于特殊权限（如数据库管理员权限），需额外提交《特殊权限申请说明》，经信息安全委员会审批后方可授予。

密码策略与管理

密码是账户安全的第一道防线,需强制执行以下策略：

密码复杂度要求

• 长度：至少12位，包含大小写字母、数字及特殊字符（如!@#$%^&*）；
• 历史密码：禁止使用近5次内的密码；
• 更新周期：个人账户密码每90天强制更新，系统账户密码每180天更新，超级管理员账户密码每60天更新；
• 禁止使用弱密码：如“123456”“admin”“服务器名称”等易被猜测的密码。

密码存储与传输

• 初始密码需通过加密方式发送,禁止明文邮件或即时通讯工具传输；
• 密码存储需采用哈希加盐（Hash+Salt）方式加密，禁止明文保存；
• 运维团队不得记录或留存账户密码,确需临时保存的，需使用密码管理工具（如1Password、KeePass）并启用双重验证。

多因素认证（MFA）

• 超级管理员账户、数据库管理员账户及涉及核心业务数据的个人账户，必须启用多因素认证（如短信验证码、动态令牌、生物识别）；
• 远程登录服务器时,MFA为强制验证项，未启用则拒绝访问。

账户使用与权限管理

使用规范

• 禁止用个人账户执行与工作无关的操作（如下载非业务软件、访问非法网站）；
• 服务器操作需遵循“最小权限”原则，不得使用超级管理员账户进行常规操作；
• 远程登录必须通过堡垒机或VPN,禁止直接使用公网IP访问服务器；
• 操作过程需留痕,重要操作（如数据修改、权限变更）需提前提交《操作申请单》，经审批后方可执行。

权限变更与回收

• 员工岗位调动或离职时,原使用部门需在24小时内提交《账户权限变更/注销申请》，信息技术部即时回收或调整权限；
• 应用系统下线或服务器退役前,需清理所有相关账户，确保无遗留权限；
• 定期（每季度）开展账户权限审计，核对账户与实际岗位的匹配度，清理长期未使用（超过90天）的“僵尸账户”。

审计与监督

操作日志审计

• 服务器需开启详细日志记录,包括登录日志、命令执行日志、文件访问日志等，日志保存期限不少于180天；
• 信息技术部每日通过安全审计系统监控异常行为（如非工作时间登录、多次密码失败尝试、大量数据导出等），发现风险立即告警并溯源。

定期检查

• 每月开展账户合规性检查,重点核查密码策略执行情况、权限分配合理性、账户使用状态等；
• 每半年组织一次跨部门联合审计,邀请信息安全团队参与，形成《账户管理审计报告》，对问题账户限期整改并跟踪验证。

责任追究

• 对违反本办法的行为（如共用账户、泄露密码、越权操作），视情节轻重给予警告、降薪、调岗等处分；
• 因账户管理不当导致安全事件的,追究相关部门及人员责任，构成违法的移交司法机关处理。

附则

本办法由信息技术部负责解释和修订,自发布之日起施行，未尽事宜，可根据实际管理需求制定补充细则，确保服务器账户管理动态适应业务发展与安全要求，所有账户管理相关文档（申请表、审批记录、审计报告等）需统一归档保存，保存期限不少于3年，以备追溯与合规审查。