ubuntu syslog权限如何管理

Ubuntu syslog 权限管理实践

一 核心原则与默认权限

• 在 Ubuntu 上，系统日志由 rsyslog 负责写入，默认以专用系统用户 syslog 运行，相关日志文件通常归属 syslog:adm，典型权限为 0640，日志目录为 0755。这既满足“最小权限”原则，也便于 adm 组成员（如管理员）读取审计。不要将 root 加入 adm 组来“绕开”权限设计，以免破坏职责分离与审计边界。

二 文件与目录权限配置

• 为新日志目录设置正确属主与权限（示例路径为 /var/log/myapp）：
  • 属主属组：建议设为 syslog:adm，以匹配 rsyslog 的默认运行身份与审计需求。
  • 目录权限：设置为 0755，保证可进入与列目录。
  • 文件权限：设置为 0640，仅允许属主读写，组用户只读，其他用户无权限。
  • 命令示例：
    • sudo mkdir -p /var/log/myapp
    • sudo chown -R syslog:adm /var/log/myapp
    • sudo chmod 0755 /var/log/myapp
• 在 rsyslog 配置中，可用全局指令固化默认权限模型（适用于使用传统语法或兼容模式的配置）：
  • $FileOwner syslog
  • $FileGroup adm
  • $FileCreateMode 0640
  • $DirCreateMode 0755
  • $Umask 0022
  • $PrivDropToUser syslog
  • $PrivDropToGroup syslog 上述指令确保新建日志文件与目录遵循统一权限基线，并与服务运行身份保持一致。

三 日志轮转时的权限保持

• 使用 logrotate 管理 syslog 文件时，务必在对应 stanza 中加入 su root syslog，以“以 syslog 身份执行轮转动作”，避免轮转后文件属主被重置为 root 导致 rsyslog 无法写入。
• 示例（/etc/logrotate.d/rsyslog 片段）：
  • /var/log/syslog { su root syslog daily rotate 7 missingok notifempty compress delaycompress size 100M postrotate /usr/lib/rsyslog/rsyslog-rotate endscript }
• 说明：
  • size 100M 为按大小触发轮转的阈值（可按需调整）。
  • postrotate 调用 rsyslog 提供的专用旋转脚本，确保文件句柄与权限正确交接。
  • 如需自定义日志路径，需同时调整 rsyslog 配置与 logrotate 配置，保持路径一致。

四 远程日志接收的访问控制与加固

• 仅允许受信任来源发送日志，降低被滥用风险：
  • 在 /etc/rsyslog.conf 或相应输入模块配置中，使用 $AllowedSender 限制来源：
    • $AllowedSender TCP, 127.0.0.1, 192.168.1.0/24
• 启用 TLS/SSL 加密传输以保护日志机密性与完整性（配置证书与密钥后启用 TLS 输入）。
• 配合 防火墙 仅放行必要来源与端口（如仅内网网段访问 514/TCP）。
• 保持 rsyslog 与系统组件 及时更新，并实施 集中化日志 与 持续监控/审计，提升可观测性与安全响应能力。

五 变更验证与排错

• 语法与配置检查：
  • 使用 rsyslogd -f /etc/rsyslog.conf -N1 进行语法校验，确认无错误后再重启服务。
• 服务重启与连通性验证：
  • 重启服务：sudo systemctl restart rsyslog
  • 查看监听：ss -lntp | grep 514（确认 514/TCP 或 514/UDP 处于监听状态）
• 权限与属主核验：
  • 检查文件与目录：ls -l /var/log | grep -E ‘syslog|messages|myapp’
  • 发现异常属主/权限时，优先检查 logrotate 是否包含 su root syslog，以及 rsyslog 全局权限指令是否生效。
• 轮转测试：
  • 可强制执行一次轮转以验证行为：sudo logrotate -vf /etc/logrotate.d/rsyslog
• 远程日志连通性（客户端视角）：
  • 测试发送：logger “test remote log entry”
  • 在服务端查看是否按规则落盘（或按模板路径生成）。