八、身份、权限与安全控制

覆盖 DAC、ACL、特殊权限、Capabilities、PAM、SSH、LSM、Seccomp 与加固。

领域子图

节点目录

核心节点	类型	摘要
UID、GID、权限、Umask 与 ACL	SecurityControl	以进程凭据和文件元数据执行自主访问控制。
SUID、SGID、Sticky Bit 与 Capabilities	SecurityControl	提供受限提权、目录协作和拆分 root 权限的机制。
sudo、PAM 与 SSH	UserSpaceComponent	将远程连接、认证栈、授权策略和审计记录组合为管理入口。
SELinux 与 AppArmor	SecurityControl	通过 Linux Security Module 实施强制访问控制并补充 DAC。
Seccomp 系统调用过滤	SecurityControl	限制进程可调用的系统调用及参数模式，缩小内核攻击面。
最小权限、补丁、审计与应急响应	SecurityControl	以资产、暴露面、身份、补丁、日志和可恢复性构成持续安全闭环。

领域边界

• 本章以通用 Linux 机制为主，明确区分内核、POSIX、GNU 工具和发行版实现。
• 每个节点包含机制、生命周期、入边/出边、命令、指标、只读实验、风险和官方来源。
• 关系方向以 关系类型（知识图谱本体——开发工具） 定义为准，机器数据位于 图谱数据（开发工具）。

验证策略

文档结论先以官方资料核验；只读实验在 Linux 6.x 容器或虚拟机执行。涉及 root、网络、磁盘、权限、服务或 sysctl 写操作时，不在知识库生成阶段自动执行。