密钥管理41 条

私钥文件权限基线

私钥在主机上的可读范围由文件权限与属主决定：通常文件 600、目录 700/750，属主为部署账号或服务账号；容器场景用只读挂载，避免私钥进入镜像层。

推荐权限	私钥 600；证书可 644；目录 700 或按需 750
属主	部署账号为佳；服务需要读权限时使用受限组而不是放开其它用户
容器	Secret 只读挂载；不进镜像层与构建缓存
检查命令	ls -l / namei -l / stat -c '%a %U:%G'

权限设置与核对

chmod 700 /etc/nginx/ssl
chmod 600 /etc/nginx/ssl/example.com.key
namei -l /etc/nginx/ssl/example.com.key
stat -c '%a %U:%G %n' /etc/nginx/ssl/*

私钥出现在备份、日志、CI 缓存与镜像层中同样构成暴露，权限只是第一道控制。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌