Linux如何限制用户登录系统权限

修改用户Shell为/sbin/nologin或/bin/false可禁止其执行命令，适用于完全禁用登录；通过PAM模块配置/etc/security/access.conf实现基于用户、组、来源的细粒度控制；利用sudoers文件限制用户仅能执行特定命令或禁止sudo；对需隔离场景可使用chroot创建受限环境；选择方法应根据安全需求与灵活性权衡；配合auditd等审计工具监控用户行为，如监控特定命令执行尝试；定期更新系统、强化密码策略并部署入侵检测系统防范绕过行为。

限制Linux用户登录系统权限，核心在于修改用户的shell、使用PAM模块、以及配置sudo权限。简单来说，就是剥夺用户执行命令的能力，或者限制他们能执行的命令范围。

解决方案

1. 修改用户Shell： 最直接的方法是修改用户的登录shell。将用户的shell设置为

   /sbin/nologin

   登录后复制
   或

   /bin/false

   登录后复制
   ，这样用户虽然可以登录，但会立即被注销，无法执行任何命令。

   usermod -s /sbin/nologin username

   登录后复制

   这种方法简单粗暴，适用于完全禁止用户登录的情况。但如果用户需要通过其他方式（例如，通过特定程序）访问系统，这种方法就不太灵活。

2. 使用PAM模块： PAM (Pluggable Authentication Modules) 允许你更细粒度地控制用户的登录权限。例如，你可以使用

   pam_access.so

   登录后复制
   模块，根据用户名、组名、登录来源等信息来限制用户的登录。

   编辑

   /etc/pam.d/login

   登录后复制
   或

   /etc/pam.d/sshd

   登录后复制
   （取决于你希望限制哪种登录方式），添加类似以下的行：

   auth    required     pam_access.so accessfile=/etc/security/access.conf

   登录后复制

   然后在

   /etc/security/access.conf

   登录后复制
   中配置具体的规则，例如：

   -: username: ALL  # 禁止username从任何地方登录
   +: ALL: LOCAL  # 允许所有用户从本地登录
   -: ALL: ALL  # 禁止所有用户从其他地方登录

   登录后复制

   PAM的配置比较复杂，但提供了更强大的灵活性。

3. 配置sudo权限： 虽然sudo权限本身是赋予用户执行特权命令的能力，但反过来，也可以通过配置sudo来限制用户能执行的命令。

   

   如知AI笔记

   如知笔记——支持markdown的在线笔记，支持ai智能写作、AI搜索，支持DeepseekR1满血大模型

   27

   查看详情

   编辑

   /etc/sudoers

   登录后复制
   文件（使用

   visudo

   登录后复制
   命令），可以指定用户只能执行特定的命令，或者完全禁止用户使用sudo。

   username ALL=(ALL) NOPASSWD: /usr/bin/apt update, /usr/bin/apt upgrade  # 允许username免密码执行apt update和upgrade
   username ALL=(ALL) !ALL  # 禁止username使用sudo执行任何命令

   登录后复制

   这种方法适用于需要限制用户执行特定命令的情况，例如，只允许用户更新软件包，但不允许安装新的软件。

4. 使用chroot环境: 创建一个受限的chroot环境，用户登录后只能访问该环境内的文件和命令。 这需要配置一个独立的根目录，并将必要的命令和库文件复制到该目录下。 虽然设置比较复杂，但安全性很高，适用于需要隔离用户操作的场景。

如何确定最合适的权限限制方法？

选择哪种方法取决于你的具体需求。如果需要完全禁止用户登录，修改shell是最简单的。如果需要更细粒度的控制，PAM模块更灵活。如果需要限制用户能执行的命令，sudo权限更合适。 考虑安全性和易用性的平衡。

限制用户登录后，如何监控他们的行为？

即使限制了用户的登录权限，仍然需要监控他们的行为，以防止潜在的安全风险。可以使用系统日志、审计工具（如auditd）来记录用户的操作。 例如，可以使用

auditd

auditctl -w /usr/bin/apt -p x -k apt_attempt  # 监控对/usr/bin/apt的执行尝试，标记为apt_attempt

然后，可以使用

ausearch

ausearch -k apt_attempt

如何应对用户绕过权限限制的尝试？

用户可能会尝试绕过权限限制，例如，通过利用系统漏洞、或者使用其他用户的身份。 定期更新系统补丁、加强密码策略、以及监控用户行为，可以降低被绕过的风险。 此外，可以考虑使用入侵检测系统（IDS）来检测异常行为。

以上就是Linux如何限制用户登录系统权限的详细内容，更多请关注php中文网其它相关文章！