限制Linux用户登录权限需配置SSH、PAM及账户状态。首先通过/etc/ssh/sshd_config的AllowUsers/AllowGroups实现远程登录白名单，重启sshd生效；其次利用/etc/security/access.conf配合pam_access.so模块控制本地与远程访问，需确保PAM配置文件加载该模块；最后通过passwd -l或usermod -L锁定账户，usermod -s /sbin/nologin禁用账户，userdel -r删除账户，结合使用可有效防止未授权访问，提升系统安全性。
在Linux系统中，限制用户登录权限是系统安全和资源管理的核心环节，它主要通过配置SSH服务、调整PAM（Pluggable Authentication Modules）模块以及直接管理用户账户状态等多种方式实现，确保只有授权用户才能访问系统资源，这对于维护系统的稳定性和抵御潜在威胁至关重要。
限制Linux用户登录权限的解决方案通常围绕几个关键点展开：首先是SSH服务的配置，因为这是远程访问最常用的途径；其次是PAM模块，它提供了灵活的认证和授权机制；再者是用户账户本身的属性管理，如禁用或锁定。在我看来，最直接且广泛应用的策略是调整SSH配置文件来控制远程登录，并结合PAM的
access.conf
进行更细粒度的本地或远程访问控制。例如，通过编辑
/etc/ssh/sshd_config
文件，你可以精确指定哪些用户或用户组可以登录，或哪些IP地址可以连接。同时，使用
usermod -L
或
passwd -l
可以快速锁定一个账户，阻止其任何形式的登录。这些方法各有侧重，但结合使用能构建起一道坚固的防线。
通过SSH配置文件精确控制用户远程登录的策略与实践
SSH是Linux系统远程管理的核心，因此，控制SSH登录权限是限制用户访问的第一道防线。在我日常工作中，配置
/etc/ssh/sshd_config
文件是最常用也最有效的手段。这个文件提供了极大的灵活性，允许我们根据用户、组甚至是IP地址来设定登录规则。
具体来说，你可以使用
AllowUsers
、
DenyUsers
、
AllowGroups
和
DenyGroups
指令。例如，如果你只希望
admin_user
和
dev_team
组的成员能够通过SSH登录，而其他任何用户都不能，你可以这样配置：
# /etc/ssh/sshd_config# 允许特定用户登录AllowUsers admin_user another_admin# 允许特定组的成员登录AllowGroups dev_team# 如果设置了AllowUsers或AllowGroups，那么默认是拒绝其他所有用户的。# 如果你想明确拒绝某些用户，可以在AllowUsers/AllowGroups之前使用DenyUsers/DenyGroupsDenyUsers guest_user
需要注意的是，这些指令是按照顺序处理的。
AllowUsers
和
AllowGroups
是白名单机制，一旦配置，只有列出的用户或组成员才能登录。
DenyUsers
和
DenyGroups
是黑名单机制，它们会阻止列出的用户或组成员登录。通常，我倾向于使用白名单策略，即只允许明确授权的用户或组登录，这样可以最大程度地减少潜在的风险。每次修改
sshd_config
后，务必重启SSH服务（例如
sudo systemctl restart sshd
或
sudo service sshd restart
）使更改生效。一个常见的错误是修改后忘记重启，导致配置不生效，这在生产环境中可能会造成一些困扰。
利用PAM模块与系统文件实现本地登录权限的精细化管理
除了SSH，本地登录以及其他服务（如FTP、SU）的权限控制同样重要。PAM（Pluggable Authentication Modules）是一个强大的框架，它允许系统管理员根据服务类型和用户需求，灵活地配置认证策略。其中，
/etc/security/access.conf
文件配合
pam_access.so
模块，提供了一种非常灵活的方式来限制用户登录。
这个文件的语法相对直观：每行代表一条规则，格式通常是
+|-:users:origins
。
+
表示允许，
-
表示拒绝。
users
可以是用户名、组名（前面加
@
）、ALL（所有用户）或LOCAL（本地用户）。
origins
可以是终端名（如
tty1
）、IP地址（或网络段）、ALL（所有来源）或LOCAL（本地连接）。
例如，我可能希望只允许
root
用户在控制台（
tty1
到
tty6
）登录，而其他用户只能通过SSH（假定SSH会话不被视为
tty
，或者更精确地限制）。或者，我希望特定用户只能从特定IP段登录。
# /etc/security/access.conf# 允许root用户从所有来源登录+:root:ALL# 允许dev_team组的用户从192.168.1.0/24网段登录+: @dev_team : 192.168.1.# 拒绝所有其他用户从任何地方登录-:ALL:ALL
要让
access.conf
生效，需要确保相应的PAM配置文件（如
/etc/pam.d/login
、
/etc/pam.d/sshd
等）中包含了
pam_access.so
模块。通常会有一行类似
account required pam_access.so
的配置。在实际操作中，我发现这种基于PAM的控制非常强大，因为它能统一管理多种服务的访问策略，而不仅仅是SSH。但需要小心配置，因为错误的规则可能导致所有用户都无法登录，包括管理员自己。所以，在修改前，最好有一个备用的登录方式（比如物理控制台访问）以防万一。此外，
/etc/nologin
文件也是一个简单粗暴但有效的本地登录限制方式。如果这个文件存在，除了
root
用户，其他所有用户都无法登录，并会看到
nologin
文件的内容作为提示信息。这在系统维护时特别有用。
如知AI笔记
如知笔记——支持markdown的在线笔记，支持ai智能写作、AI搜索，支持DeepseekR1满血大模型
27 查看详情
用户账户生命周期管理：禁用、锁定与删除的安全性考量
除了网络和PAM层面的限制，直接管理用户账户的状态是更底层的控制方式。这包括临时锁定账户、永久禁用账户，甚至彻底删除账户。这些操作直接影响用户是否能通过任何方式登录系统。
锁定账户： 当你怀疑某个账户被入侵，或者需要临时阻止用户登录时，锁定账户是最快捷的方式。可以使用
passwd -l
来锁定账户，或
usermod -L
。这两种方式都会修改
/etc/shadow
文件中用户密码字段，使其无法匹配任何密码，从而阻止登录。
sudo passwd -l user_to_lock# 或者sudo usermod -L user_to_lock
解锁账户则使用
passwd -u
或
usermod -U
。我通常倾向于
passwd -l
，因为它直接作用于密码，更直观。
禁用账户： 如果你需要让一个账户在一段时间内无法使用，但又不想删除其数据，可以禁用账户。最常见的做法是将其Shell改为一个不存在的程序，例如
/sbin/nologin
或
/bin/false
。
sudo usermod -s /sbin/nologin user_to_disable
这样，当用户尝试登录时，系统会尝试执行
/sbin/nologin
，该程序会立即退出并显示一条消息（如果存在的话），从而阻止用户进入Shell。
删除账户： 当一个用户彻底离开团队或不再需要访问系统时，删除账户是最彻底的清理方式。使用
userdel
命令，通常会配合
-r
选项来删除用户的主目录和邮件池。
sudo userdel -r user_to_delete
在执行删除操作时，我总会三思。删除用户账户是不可逆的，务必确认该用户的所有数据和权限都已经妥善处理，避免误删重要数据或留下权限漏洞。有时，我宁愿先禁用账户一段时间，确认无误后再进行删除，这是一种更稳妥的做法。这些账户管理策略的恰当运用，是确保系统安全，避免未授权访问的关键环节。
以上就是Linux如何限制用户登录权限的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/427621.html
微信扫一扫 
支付宝扫一扫 
