EDA 安全与权限：多项目隔离、数据权限与审计

EDA 数据是公司的核心资产，设计数据泄露就是重大事故。安全不是锁死，而是让对的人在对的项目里干活，并且留下记录。这篇讲 EDA 环境的多项目隔离、数据权限和审计。

一、多项目隔离：从目录开始

隔离的第一层是目录：每个项目一个顶层目录，属主是项目组，权限 2770（组内可写、组外不可进），新文件自动继承项目组。release 目录只读，写操作走流程，不靠自觉。项目之间不许互相读，跨项目协作走正式的共享目录和审批，不是私下开权限。

# 项目目录权限：组内可写、组外不可进，新文件继承组
mkdir -p /eda/proj/neuchip
chgrp neuchip /eda/proj/neuchip
chmod 2770 /eda/proj/neuchip

# 细粒度权限用 ACL（比如只给某个人读）
setfacl -m u:zhangsan:r-x /eda/proj/neuchip
getfacl /eda/proj/neuchip | head -20

二、账号与权限：最小权限

• 一人一号：不许共用账号，出了问题查不到人等于没管。
• 最小权限：普通用户没有 sudo，需要提权走审批，sudo 操作全记录。
• 离职回收：人员离项目当天回收项目权限，离职当天回收全部权限，账号禁用不要只改密码。
• 定期复核：每季度复核一次各项目的成员清单，调岗、离职、长期不登录的账号及时清理。

三、数据权限：NFS 与 release

NFS export 要限制来源：只允许计算网段挂载，管理网段和办公网段不许直接挂项目盘。release 数据只读，靠流程写；敏感数据（比如流片前的最终版）单独放加密区，访问要审批。备份数据和生产数据同等保护，备份盘丢了和生产盘丢了是一回事。

# 查谁登过、谁还在登
last | head -20
who

# 查某人的 sudo 记录
grep sudo /var/log/secure | grep zhangsan | tail -20

# 查异常登录（非工作时间、非常用地）
lastb | head -20

四、审计与追溯

审计不是为了抓人，是为了出事时能还原现场。至少留三样记录：登录记录（last、lastb）、提权记录（sudo 日志）、license 使用记录（谁在什么时候占了哪个 feature）。日志集中收，本地只留一份，定期归档。异常登录、越权访问、批量下载，都要能告警。

五、外包与客户环境

给客户或者外包团队交付环境，隔离要更彻底：单独的 VPN 账号、单独的项目目录、到期自动回收。交付文档里只写账号和权限，密码单独交付、首次登录强制修改，root 密码不随文档走。交接要有确认签字，谁接手、接了什么、什么时候接的，写清楚。

安全的本质是信任加验证：信任同事，但权限、记录和审计一个都不能少。出了问题能定位到人、定位到操作、定位到时间，就是合格的安全运维。

Mr丶点心

打赏 海报 链接