Ubuntu Informix权限设置最佳实践

1. 遵循最小权限原则
只授予用户完成其任务所必需的权限，避免过度授权。例如，普通开发人员仅需CONNECT和SELECT权限，无需分配DBA（数据库管理员）权限；报表用户仅需SELECT权限，避免其修改数据。

2. 强化用户口令策略
设置严格的口令复杂度要求：口令长度至少8位，包含数字、小写字母、大写字母和特殊符号中的至少3类；配置账户锁定策略，连续认证失败6次（不含6次）时锁定账号（防止暴力破解）；设置口令历史（记住最近5次口令），禁止重复使用旧口令；口令生存期不超过90天，强制用户定期更换口令。

3. 利用角色管理权限
创建角色将常用权限捆绑（如report_reader角色授予SELECT权限），再分配给用户。角色管理简化了权限分配流程，便于批量调整权限（如新增报表权限时，只需修改角色权限，无需逐个修改用户）。

4. 规范数据库权限类型
区分系统级权限与对象级权限：

• 系统级权限：CONNECT（连接数据库）、RESOURCE（创建表/视图等对象）、DBA（完全控制数据库）；
• 对象级权限：针对表、视图等对象的SELECT、INSERT、UPDATE、DELETE权限。
  根据用户职责分配对应权限，例如：普通用户仅需CONNECT和SELECT权限，数据录入人员需额外授予INSERT权限，管理员需DBA权限。

5. 加强操作系统文件权限
Informix依赖操作系统用户（如informix用户）运行，需正确设置文件/目录权限：

• Informix安装目录（如/opt/informix）：所有者为informix，权限设为750（所有者可读/写/执行，组用户可读/执行，其他用户无权限）；
• 数据库数据目录（如/opt/informix/dbs）：权限设为750，防止未经授权的访问或修改；
• 日志文件目录（如$INFORMIXDIR/aaodir）：权限设为660（仅所有者可读/写），避免日志泄露。

6. 启用审计与日志监控
通过审计功能记录用户操作，便于追溯安全事件：

• 编辑$INFORMIXDIR/aaodir/adtcfg文件，设置ADTMODE=7（同时写入Informix审计记录和操作系统审计记录，自动审计所有DBSA（数据库安全管理员）和DBSSO（数据库单点登录）活动）；
• 定期审查审计日志（如$INFORMIXDIR/aaodir下的日志文件），关注异常操作（如频繁的DROP TABLE、GRANT DBA等）。

7. 定期审查与更新权限
定期（如每月）审查用户权限：

• 检查用户权限是否超出职责范围（如普通用户是否拥有DBA权限）；
• 删除离职用户或不再需要的权限（如项目结束后移除用户的CONNECT权限）；
• 更新角色权限（如新增业务需求时，调整角色权限并重新分配给用户）。

8. 保护审计日志安全
确保审计日志文件的访问权限严格：

• 检查$INFORMIXDIR/aaodir/adtpath参数，确认日志路径正确；
• 设置日志文件权限为660（所有者informix可读/写，组用户可读，其他用户无权限），防止日志被篡改或删除。