Melhore a segurança do Linux usando grupos específicos para banco de dados e servidor

Question

Para melhorar a segurança, quero criar dois grupos, da seguinte forma:

1. database_group
   • pode iniciar, reiniciar, parar o servidor Postgresql
   • pode modificar os arquivos de configuração do Postgresql em / etc
   • não pode desinstalar, excluir postgresql e pacotes relacionados

Não estou me referindo / perguntando sobre funções do PostgreSQL, mas funções de usuário do Linux.

2. grupo de servidores

database_group  - pode iniciar, reiniciar, parar o servidor Postgresql  - não pode modificar os arquivos de configuração padrão do NGINX, mas pode etc / adicionar arquivos locais  - não é possível desinstalar, excluir NGINX e pacotes relacionados

Eu sei adicionar usuários e grupos, saiba em nível médio-básico sobre permissões

Eu não sei como decidir entre adicionar permissão sudo para grupos para certos diretórios e apenas adicionar permissão em cada arquivo para o grupo

A ideia é que usuários diferentes tenham áreas de acesso diferentes e, se um usuário for comprometido, apenas uma seção específica será afetada.

Estou procurando orientação / ajuda / exemplos de alguém que trabalhe com servidores da web, como separar zonas de acesso.

O que eu pedi acima não é fixo, se melhores soluções forem apresentadas