Linux如何设置root权限控制？

核心原则：避免直接使用root

• 使用sudo替代su
  通过sudo授权普通用户执行特定命令，而非直接登录root：
  1. 安装sudo（部分发行版默认安装）：

     apt install sudo  # Debian/Ubuntu
     yum install sudo  # CentOS/RHEL

  2. 将用户加入sudo组：

     usermod -aG sudo username  # Debian/Ubuntu
     usermod -aG wheel username # CentOS/RHEL

  3. 配置sudo权限文件（/etc/sudoers）：
     使用visudo命令编辑（避免语法错误）：

     # 允许wheel组用户使用sudo
     %wheel ALL=(ALL) ALL
     # 允许特定用户无密码执行命令（谨慎使用）
     username ALL=(ALL) NOPASSWD: /usr/bin/systemctl

禁止root远程登录（SSH加固）

修改SSH配置文件 /etc/ssh/sshd_config：

1. 禁止root通过SSH登录：

   PermitRootLogin no

2. 限制登录用户（仅允许普通用户）：

   AllowUsers username

3. 重启SSH服务生效：

   systemctl restart sshd

️ 注意：先测试普通用户SSH登录权限，再禁用root登录，避免被锁在系统外。

设置强密码策略

1. 修改root密码复杂度
   编辑 /etc/security/pwquality.conf：

   minlen = 12   # 最小长度
   minclass = 3  # 包含数字、字母、符号等至少3类

2. 设置密码有效期
   修改 /etc/login.defs：

   PASS_MAX_DAYS 90   # 密码最长有效期
   PASS_WARN_AGE 7    # 过期前7天提醒

3. 使用命令强制root修改密码：

   chage -M 90 root

使用PAM模块精细化控制

通过Pluggable Authentication Modules (PAM) 限制root访问：

1. 限制root的TTY终端
   编辑 /etc/securetty，仅允许本地tty1登录：

   tty1
   # 注释其他行（如tty2, pts/0等）

2. 禁止普通用户su到root
   编辑 /etc/pam.d/su，添加：

   auth required pam_wheel.so use_uid  # 仅允许wheel组成员使用su

审计与监控root活动

1. 启用auditd日志审计

   • 安装auditd：

     apt install auditd  # 或 yum install audit

   • 监控root执行的所有命令：

     auditctl -a always,exit -F arch=b64 -F euid=0 -S execve

   • 查看日志：ausearch -ue 0（0为root的UID）

2. 记录sudo操作
   在/etc/sudoers中添加：

   

   Defaults logfile=/var/log/sudo.log

安全增强建议

1. 使用双因素认证（2FA）
   为sudo或SSH登录启用Google Authenticator等2FA工具。
2. 定期审查权限
   • 检查sudoers文件：sudo visudo -c
   • 审计特权用户：grep -Po '^sudo.+:K.*$' /etc/group
3. 内核级防护
   启用SELinux/AppArmor限制root进程行为（如配置enforcing模式）。

控制root权限的关键在于：
优先使用sudo而非直接root操作
禁用远程root登录
强制密码复杂性策略
通过PAM和审计实现精细化管控
️ 任何配置修改前，务必备份相关文件（如/etc/sudoers），并在测试环境验证。
基于Linux官方文档及安全最佳实践，参考来源：

• Linux man-pages (man sudoers, man pam_wheel)
• NSA《Linux安全加固指南》
• Ubuntu/CentOS官方安全文档
  遵循CC BY-SA 4.0协议，允许署名共享。