一、账号安全控制

1.1 账号清理

账号清理手段

• 将非登录的用户的shell设为 /sbin/nologin
• 锁定长期不使用的账户
• 删除无用的账号
• 锁定账号文件passwd，shadow

账号清理的具体命令

useradd命令

useradd -s /sbin/nologin  用户名   ## 创建账户的时候设置为不可登录

usermod命令

usermod -L 用户名    ## 锁定已创建好的账户
usermod -U 用户名	    ## 与 -L对应解锁锁定的账户

passwd命令

passwd -l 用户名     ## 锁定已创建的账户
passwd -u 用户名     ## 对 -l对应解锁锁定的账户

userdel命令

userdel [-r] 用户   ## 删除用户，加 -r删除用户时宿主目录也会被删除

1.2 锁定账号文件chattr

chattr的命令

[root@server1 ~]# chattr +i  /[目录]   ## 对该目录进行保护，不能对该目录进行删除、改名、设定链接关系，同时不能写入或新增内容
[root@server1 ~]# chattr -i  /[目录]   ## 解锁该目录的锁定，可正常对该目录进行操作
[root@server1 ~]# lsattr 目录    ## 与chattr搭配使用，查看chatte操作后的状态

chattr命令的用法

选项	作用
+	在原有参数设定的基础上，追加参数
-	在原有参数设定基础上，移除参数
=	更新为指定参数设定

chattr的常用选项

选项	作用
i	设定文件不能被删除、改名、设定链接关系，同时不能写入或新增内容
a	设定改参数后，只能向该文件中添加数据，而不能移除。多用于服务器日志文件安全。只有root才能设置这个属性

chattr的注意事项

chattr命令不能保护 /、/dev、/tmp、/var 目录

1.3 密码安全控制

设置密码有效期
要求用户下次登录时修改密码

[root@server1 ~]# chage -M 30 用户名   ## 设置该用户密码可用时间30天
[root@server1 ~]# chage -d 0 用户名    ## 设置该用户下次登录时修改密码

1.4 命令历史限制

减少记录的命令条数

[root@server1 ~]# vi /etc/profile   ## 进入该文件
HISTSIZE = 100         ## 将命令条数限制为100，默认为1000

注销时自动清空命令历史

[root@server1 ~]# vi .bash_logout    ## 进入注销设置命令~/.bash_logout     ## 如果前面有#的需要将#去掉history -c             ## 清空历史clear                  ## 清屏echo ""> /root/.bash_history     ## 将.bash_history目录清空
[root@server1 ~]#source .bash_history   ## 不关机的情况下执行上述命令

二、su与sudo

su命令

作用

切换用户

格式

su 用户名称

密码验证

• root用户切换到其他用户时不需要验证密码
• 普通用户切换到其他用户时需要验证密码

除root用户外允许使用su命令的条件

默认注释掉执行非wheel组用户无法使用su命令

su命令的安全隐患

默认情况下，任何用户都允许使用su命令，有机会反复尝试其他用户（如root）的登录密码，会带来安全隐患。
为了加强su命令的使用控制，可借助于PAM认证模块，只允许极个别用户使用su命令进行切换。

PAM可插拔式认证模块

• 是一种高级且灵活便利的用户级别的认证方式
• 也是当前linux服务器普遍使用的认证方式

PAM认证原理

一般遵循的原则