前阵子一家公司找到我们，说他们有台数据库被误删了表，查不出是谁干的。十几个人都知道root密码，SSH直连操作没有任何记录。最后只能从业务日志反推时间点，勉缩小到三个人。这种“薛定谔的锅“在很多企业都存在，根源就是运维操作没有规范。
直连操作有哪些坑
第一个坑是没法审计。SSH直连服务器执行命令，除非专门配了bash history记录，否则操作痕迹转瞬即逝。出了故障想复盘，发现啥都没有。
第二个坑是权限失控。所有运维都用root登录，每个人都能干所有事，没有最小权限原则。一个中级工程师能直接操作生产数据库，这风险不言而喻。
第三个坑是密码管理混乱。密码多人共享，有人离职也不改密码，安全形同虚设。
落地第一步：上跳板机
运维操作必须经过跳板机（也叫堡垒机）。开源方案用JumpServer就够用，商业产品选择也多。跳板机的好处是所有操作都有录像，谁在什么时间执行了什么命令一清二楚。上跳板机这事不需要太多预算，关键是要有魄力推行下去——有些人会嫌麻烦，但安全面前不能将就。
落地第二步：权限分级
把运维人员分成三个角色：只读权限（只能看不能改）、操作权限（能重启服务、修改配置）、管理权限（能装软件、改系统配置）。根据岗位职级分配，新入职的只给只读，转正后申请操作权限，核心系统管理权限只给2-3个senior。权限申请走审批流，有记录可查。
落地第三步：禁用root远程登录
服务器上把PermitRootLogin设为no，root密码只给极少数人。日常操作用普通用户加sudo，sudo操作也会记到日志里。这一步技术上特别简单，改一行配置重启sshd就行，但能挡住一大半的误操作风险。
运维规范不是写几页文档就完事的，得靠工具落地。靠人自觉不如靠系统强制，这是十年运维踩坑换来的经验。