如何理解管理权限最小化

在安全计算环境中的访问控制这个控制点的“d)应授予管理用户所需的最小权限，实现管理用户的权限分离；” 这个经常有人说是“三权分离”，个人认为实际上这是存在偏差的，不信我们一起来想想？

从《测评要求》来看，该项主要需要核查3个内容：

1) 应核查是否进行角色划分；

2) 应核查管理用户的权限是否已进行分离；

3) 应核查管理用户权限是否为其工作任务所需的最小权限。

以上3项均为符合，该条的判定结果才是符合。从《测评要求》的角度来看来看，首先需要具有角色划分的功能，其次是用户的权限是否分离，最后才是用户的权限是否是最小化。第一项是前提，第二项和第三项是逐层递增要求，也就是说，如果第一项无法实现，即没有角色划分功能，那么第二项和第三项必然也不符合或不适用。

因此，将该项简单理解为“三权分离”是不妥当的。同样，测评要求其实并未要求一定是超级管理员（系统管理员）、审计管理员、安全管理员三个角色。

还有个争议的地方就是，是否要求没有类似root、administrator等超级管理员账户？有人认为，既然要求权限最小化，就一定不能有root、administrator等最高权限的账户，个人认为，这是错误的，因为测评要求并未要求不能存在最高权限的账户，且权限最小化也不是强制要求不能存在最高权限。

主要根据出厂时是否内置的账户和权限不同，主要分两类：

1、出厂时默认内置一个最高权限的账户，该管理员账户是权限最高的，可以创建新用户、为新用户分配权限等。典型的就是服务器、网络设备、部分数据库和中间件，对于该类测评对象，个人觉得现阶段并不需要苛刻要求，因为设备本身无法实现，若同时满足

2) 应核查管理用户的权限是否已进行分离；

3) 应核查管理用户权限是否为其工作任务所需的最小权限；

即可判定为符合；

2、出厂时默认内置多个不同权限的账户，且不同账户的权限各不相同。典型的就是业务应用软件、安全设备和达梦数据库，若同时满足

1) 应核查是否进行角色划分；

2) 应核查管理用户的权限是否已进行分离；

3) 应核查管理用户权限是否为其工作任务所需的最小权限；

即可判定为符合。