Linux如何限制用户登录系统权限_网络技术_宿州市腾雀网络科技有限公司

修改用户Shell为/sbin/nologin或/bin/false可禁止其执行命令，适用于完全禁用登录；通过PAM模块配置/etc/security/access.conf实现基于用户、组、来源的细粒度控制；利用sudoers文件限制用户仅能执行特定命令或禁止sudo；对需隔离场景可使用chroot创建受限环境；选择方法应根据安全需求与灵活性权衡；配合auditd等审计工具监控用户行为，如监控特定命令执行尝试；定期更新系统、强化密码策略并部署入侵检测系统防范绕过行为。

限制Linux用户登录系统权限，核心在于修改用户的shell、使用PAM模块、以及配置sudo权限。简单来说，就是剥夺用户执行命令的能力，或者限制他们能执行的命令范围。

解决方案

修改用户Shell： 最直接的方法是修改用户的登录shell。将用户的shell设置为
```
/sbin/nologin
```
或
```
/bin/false
```
，这样用户虽然可以登录，但会立即被注销，无法执行任何命令。
```
usermod -s /sbin/nologin username
```
这种方法简单粗暴，适用于完全禁止用户登录的情况。但如果用户需要通过其他方式（例如，通过特定程序）访问系统，这种方法就不太灵活。
使用PAM模块： PAM (Pluggable Authentication Modules) 允许你更细粒度地控制用户的登录权限。例如，你可以使用
```
pam_access.so
```
模块，根据用户名、组名、登录来源等信息来限制用户的登录。

编辑
```
/etc/pam.d/login
```
或
```
/etc/pam.d/sshd
```
（取决于你希望限制哪种登录方式），添加类似以下的行：
```
auth    required     pam_access.so accessfile=/etc/security/access.conf
```
然后在
```
/etc/security/access.conf
```
中配置具体的规则，例如：
```
-: username: ALL  # 禁止username从任何地方登录
+: ALL: LOCAL  # 允许所有用户从本地登录
-: ALL: ALL  # 禁止所有用户从其他地方登录
```
PAM的配置比较复杂，但提供了更强大的灵活性。
配置sudo权限： 虽然sudo权限本身是赋予用户执行特权命令的能力，但反过来，也可以通过配置sudo来限制用户能执行的命令。

编辑
```
/etc/sudoers
```
文件（使用
```
visudo
```
命令），可以指定用户只能执行特定的命令，或者完全禁止用户使用sudo。
```
username ALL=(ALL) NOPASSWD: /usr/bin/apt update, /usr/bin/apt upgrade  # 允许username免密码执行apt update和upgrade
username ALL=(ALL) !ALL  # 禁止username使用sudo执行任何命令
```
这种方法适用于需要限制用户执行特定命令的情况，例如，只允许用户更新软件包，但不允许安装新的软件。
使用chroot环境: 创建一个受限的chroot环境，用户登录后只能访问该环境内的文件和命令。这需要配置一个独立的根目录，并将必要的命令和库文件复制到该目录下。虽然设置比较复杂，但安全性很高，适用于需要隔离用户操作的场景。

如何确定最合适的权限限制方法？

选择哪种方法取决于你的具体需求。如果需要完全禁止用户登录，修改shell是最简单的。如果需要更细粒度的控制，PAM模块更灵活。如果需要限制用户能执行的命令，sudo权限更合适。考虑安全性和易用性的平衡。

限制用户登录后，如何监控他们的行为？

即使限制了用户的登录权限，仍然需要监控他们的行为，以防止潜在的安全风险。可以使用系统日志、审计工具（如auditd）来记录用户的操作。例如，可以使用

auditd

监控用户尝试执行被禁止的命令的行为。

auditctl -w /usr/bin/apt -p x -k apt_attempt  # 监控对/usr/bin/apt的执行尝试，标记为apt_attempt

然后，可以使用

ausearch

命令来搜索相关的日志：

ausearch -k apt_attempt

如何应对用户绕过权限限制的尝试？

用户可能会尝试绕过权限限制，例如，通过利用系统漏洞、或者使用其他用户的身份。定期更新系统补丁、加强密码策略、以及监控用户行为，可以降低被绕过的风险。此外，可以考虑使用入侵检测系统（IDS）来检测异常行为。

# linux # access # 工具 # red

相关栏目：【网站优化151355 】【网络推广146373 】【网络技术251813 】【 AI营销90571 】