修改用户Shell为/sbin/nologin或/bin/false可禁止其执行命令，适用于完全禁用登录；通过PAM模块配置/etc/security/access.conf实现基于用户、组、来源的细粒度控制；利用sudoers文件限制用户仅能执行特定命令或禁止sudo；对需隔离场景可使用chroot创建受限环境；选择方法应根据安全需求与灵活性权衡；配合auditd等审计工具监控用户行为，如监控特定命令执行尝试；定期更新系统、强化密码策略并部署入侵检测系统防范绕过行为。
限制Linux用户登录系统权限，核心在于修改用户的shell、使用PAM模块、以及配置sudo权限。简单来说，就是剥夺用户执行命令的能力，或者限制他们能执行的命令范围。
解决方案
修改用户Shell： 最直接的方法是修改用户的登录shell。将用户的shell设置为
/sbin/nologin
或
/bin/false
，这样用户虽然可以登录，但会立即被注销，无法执行任何命令。
usermod -s /sbin/nologin username
这种方法简单粗暴，适用于完全禁止用户登录的情况。但如果用户需要通过其他方式（例如，通过特定程序）访问系统，这种方法就不太灵活。
使用PAM模块： PAM (Pluggable Authentication Modules) 允许你更细粒度地控制用户的登录权限。例如，你可以使用
pam_access.so
模块，根据用户名、组名、登录来源等信息来限制用户的登录。
编辑
/etc/pam.d/login
或
/etc/pam.d/sshd
（取决于你希望限制哪种登录方式），添加类似以下的行：
auth required pam_access.so accessfile=/etc/security/access.conf
然后在
/etc/security/access.conf
中配置具体的规则，例如：
-: username: ALL # 禁止username从任何地方登录+: ALL: LOCAL # 允许所有用户从本地登录-: ALL: ALL # 禁止所有用户从其他地方登录
PAM的配置比较复杂，但提供了更强大的灵活性。
配置sudo权限： 虽然sudo权限本身是赋予用户执行特权命令的能力，但反过来，也可以通过配置sudo来限制用户能执行的命令。
网龙b2b仿阿里巴巴电子商务平台
本系统经过多次升级改造，系统内核经过多次优化组合，已经具备相对比较方便快捷的个性化定制的特性，用户部署完毕以后，按照自己的运营要求，可实现快速定制会费管理，支持在线缴费和退费功能财富中心，管理会员的诚信度数据单客户多用户登录管理全部信息支持审批和排名不同的会员级别有不同的信息发布权限企业站单独生成，企业自主决定更新企业站信息留言、询价、报价统一管理，分系统查看分类信息参数化管理，支持多样分类信息，
0 查看详情
编辑
/etc/sudoers
文件（使用
visudo
命令），可以指定用户只能执行特定的命令，或者完全禁止用户使用sudo。
username ALL=(ALL) NOPASSWD: /usr/bin/apt update, /usr/bin/apt upgrade # 允许username免密码执行apt update和upgradeusername ALL=(ALL) !ALL # 禁止username使用sudo执行任何命令
这种方法适用于需要限制用户执行特定命令的情况，例如，只允许用户更新软件包，但不允许安装新的软件。
使用chroot环境: 创建一个受限的chroot环境，用户登录后只能访问该环境内的文件和命令。 这需要配置一个独立的根目录，并将必要的命令和库文件复制到该目录下。 虽然设置比较复杂，但安全性很高，适用于需要隔离用户操作的场景。
如何确定最合适的权限限制方法？
选择哪种方法取决于你的具体需求。如果需要完全禁止用户登录，修改shell是最简单的。如果需要更细粒度的控制，PAM模块更灵活。如果需要限制用户能执行的命令，sudo权限更合适。 考虑安全性和易用性的平衡。
限制用户登录后，如何监控他们的行为？
即使限制了用户的登录权限，仍然需要监控他们的行为，以防止潜在的安全风险。可以使用系统日志、审计工具（如auditd）来记录用户的操作。 例如，可以使用
auditd
监控用户尝试执行被禁止的命令的行为。
auditctl -w /usr/bin/apt -p x -k apt_attempt # 监控对/usr/bin/apt的执行尝试，标记为apt_attempt
然后，可以使用
ausearch
命令来搜索相关的日志：
ausearch -k apt_attempt
如何应对用户绕过权限限制的尝试？
用户可能会尝试绕过权限限制，例如，通过利用系统漏洞、或者使用其他用户的身份。 定期更新系统补丁、加强密码策略、以及监控用户行为，可以降低被绕过的风险。 此外，可以考虑使用入侵检测系统（IDS）来检测异常行为。
以上就是Linux如何限制用户登录系统权限的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/934864.html
微信扫一扫 
支付宝扫一扫 
