当前位置：首页 > Linux > 正文

Linux账户安全最佳配置指南

admin
Linux
2025-06-24
7

使用普通账户日常操作，仅需管理员权限时通过sudo提权，强制设置强密码并定期更换，禁用root账户直接远程登录，改用密钥认证，定期审计账户权限。

Linux账户安全配置最佳实践

核心原则：最小权限 + 分层管理

禁用Root直接登录（关键步骤）

# 修改SSH配置禁止root登录 sudo sed -i 's/^#*PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config sudo systemctl restart sshd # 创建替代管理员账户（示例） sudo useradd -m -s /bin/bash sysadmin sudo passwd sysadmin sudo usermod -aG sudo sysadmin # Ubuntu/Debian sudo usermod -aG wheel sysadmin # CentOS/RHEL

实施Sudo权限精细化控制

• 避免滥用sudo权限

编辑/etc/sudoers（始终使用visudo命令）：

# 限制特定命令集（示例） %web-admins ALL=(root) /usr/bin/systemctl reload nginx, /usr/bin/journalctl -u nginx*

• 启用sudo日志审计

添加默认配置：

Defaults logfile="/var/log/sudo.log" Defaults log_input, log_output

账户生命周期管理

# 新用户创建标准流程 sudo useradd -m -s /bin/bash -c "应用账户描述" username sudo passwd username # 强制首次登录修改密码 # 离职账户立即锁定 sudo usermod -L -e 1 username # 锁定账户并设置过期 sudo chage -E0 username # 双重确认

密码策略强制实施

Linux账户安全最佳配置指南第1张

密钥认证取代密码（SSH强化）

# 生成密钥对（客户端执行） ssh-keygen -t ed25519 -a 100 -f ~/.ssh/admin_key # 服务端配置： sudo nano /etc/ssh/sshd_config PubkeyAuthentication yes PasswordAuthentication no # 禁用密码登录 AuthenticationMethods publickey

特殊账户安全处理

• 服务账户

sudo useradd -r -s /usr/sbin/nologin service_account sudo chsh -s /usr/sbin/nologin service_account

• 审计账户

单独创建具有只读权限的账户，配置auditd规则。

Linux账户安全最佳配置指南第2张

实时监控与审计

# 安装并配置auditd sudo apt install auditd sudo auditctl -w /etc/passwd -p wa -k identity_audit sudo auditctl -w /etc/sudoers -p rw -k sudoers_change # 查看登录记录 last -f /var/log/wtmpx

定期安全审查

# 检查空密码账户 sudo awk -F: '($2 == "" ) {print $1}' /etc/shadow # 扫描未使用的账户 lastlog -b 90 # 90天未登录账户

多因素认证（进阶防护）

# 安装Google Authenticator sudo apt install libpam-google-authenticator # 配置/etc/pam.d/sshd： auth required pam_google_authenticator.so

文件权限加固

Linux账户安全最佳配置指南第3张