安全加固：变更、排障与恢复自检
补丁、审计与基线变更
维护systemd 最小权限任务前先保存执行用户、只读程序目录与必要写入路径，恢复后以加载后的 unit、实际进程权限与拒绝日志验收。具体配置见配套示例。
秘密与备份保护
秘密管理覆盖配置、环境、日志、崩溃转储和备份。限制读取、按用途分发、定期轮换，不能仅从仓库删除字符串就认为泄露已解决。备份含同样敏感数据，必须有访问限制和恢复演练计划。
基线漂移与例外
基线漂移应区分批准例外与意外偏离。每个例外记录原因、负责人、补偿控制和到期日期；到期后复审，不自动无限延长。观察到参数不同先确认实际服务配置与平台支持，再决定修复，不能把文本差异直接当漏洞。
练习与参考解答
练习：配置仓库曾提交令牌，删除当前文件中的令牌就能关闭事件吗？某临时例外已过期，能否因业务繁忙自动永久保留？
参考解答
不能，历史副本、日志和备份可能仍含令牌，应撤销/轮换并核查使用范围，限制敏感副本读取。例外需负责人、补偿控制和到期复审，不自动延长；先确认实际漂移和平台支持，再按批准的恢复/更新计划处理，不能把文本差异直接等同运行漏洞。
加固后启动失败与权限排障
本节沿加载后的 unit、实际进程权限与拒绝日志定位失败层；先确认执行用户、只读程序目录与必要写入路径，与配套示例逐项对照，再选择最小修复。
收紧后服务失效
服务失效先关联最近加固变更、拒绝日志和失败资源；仅对必要路径或能力最小放宽，保存证据后再调整正式基线。不要全局关闭SELinux、撤销所有ACL或改成root运行。若影响管理通道，按预定旁路恢复上一份已批准配置。
声明与实际生效
生效证据需要区分配置文件声明、管理器加载、进程实际权限与访问行为四层，后两层属于运行状态证据。本课只能静态审阅第一层与离线输入，不能声称沙箱或ACL已经在机器上生效。读者另行验收时要记录平台、服务版本和正反行为结果，不能以配置存在替代安全保证。
练习与参考解答
练习：unit文本已含NoNewPrivileges和只读根，离线case.json也判为一致，但并未加载unit。能否记录“沙箱已生效”？如果收紧后报告只读文件系统错误，应如何最小恢复？
参考解答
不能，目前只有声明与人工输入，缺管理器加载、进程权限及访问行为证据。后续另行获准运行时需核对加载配置与正反访问结果；只读错误先定位实际失败路径和最近变更，仅放行确有必要的状态目录并保存证据，不全局关闭隔离或改用root掩盖问题。
收紧权限后服务异常的复盘
以下演练将systemd 最小权限任务的变更、失败证据和恢复验收串起来；先熟悉配套示例中的执行用户、只读程序目录与必要写入路径。演练未执行。
故障场景与影响
应用加固后无法写日志，运维准备取消全部沙箱限制。
先记录首次异常时间、受影响对象和最近变更，区分个别对象失败与整条管理链路异常。以下是排查演练，不是已发生事故的实测记录。
按证据定位原因
- 确认失败写入的实际路径、服务身份和错误来源，区分路径权限与服务文件系统视图限制。
- 比较变更前后 unit、已加载设置和进程状态；配置里有某个选项不等于限制已经生效。
- 列出业务必需的状态、缓存与日志目录，检查是否误依赖程序目录或共享根路径写入。
恢复步骤与验收
优先将写入迁入专用状态或日志目录，仅增加必要路径例外；若确需撤回，单独撤销已证实不兼容的项，保留其余限制。
验收：必要读写与连接成功，不必要路径写入和越权操作仍被拒绝；再次检查进程身份与实际限制，记录例外的用途和负责人。
将触发条件、直接原因、修复动作、恢复证据和后续检查写入同一份复盘，明确每项后续工作的负责人。机制参考：官方说明。
机制自检
自检：根据上面的场景画出故障链，标出每一项证据来自哪个对象、发生在哪个时间。说明恢复动作改变了什么，以及为什么其他原本允许或拒绝的操作仍符合预期。
参考解答与误区
问题一：NoNewPrivileges会撤销已持有的root权限吗？
答案：不会。它约束后续exec获得新增权限并由后代继承，还需专用账户与能力集合来限制已有权限。
问题二：ProtectSystem=strict后程序需要写日志，是否加入根目录写例外？
答案：不应。先判断是否能写journal或明确专用状态目录，只为必要路径设置最小例外。只读挂载视图不等于宿主机磁盘被永久改写。
问题三：配置文件含沙箱选项能否说明已生效？
答案：不能。还需确认管理器加载、内核支持、进程实际状态和正反访问行为。
验收与未验证项
验收应覆盖正常操作、预期拒绝和恢复后的再次操作，并记录实际版本、身份、配置及结果。本文示例未执行；配置审阅与离线推演不能替代真实环境的连通、权限和恢复验证。
版本、来源与进一步阅读
核对日期：2026-10-17。教学版本族：systemd256固定文档、Linux no_new_privs与Windows ACL概念。固定源码用于重现字段，动态官方网页用于补充说明，不称为2026最新版本。具体字段与语义以本节所列一手资料及目标版本手册为准。
继续阅读
- 应用实践
- 知识专题