目录
一、账号安全基本措施
1.系统账号清理
将非登录用户的 Shell 设为 /sbin/nologin,有效地防止这些用户登录到系统。
(使用 usermod 命令来修改用户的 Shell👇)
usermod -s /sbin/nologin 用户名
锁定长期不使用的账号
usermod -L 用户名: 锁定指定用户的账号,使其无法登录
passwd -l 用户名: 也是用于锁定用户账号,类似于 usermod 命令
passwd -S 用户名:用于显示指定用户的密码状态
删除无用的账号
userdel -r 用户名
-r 表示连同用户的主目录一起删除。这样可以确保相关文件和目录也被删除 👆
锁定账号文件passwd、shadow
chattr +i /etc/passwd /etc/shadow
使用 chattr 命令,并使用 +i 选项来将文件设置为不可修改(即使是 root 用户也无法修改这两个文件。)
查看账号文件的锁定状态
lsattr /etc/passwd /etc/shadow
用于查看指定文件的属性,可以使用这个命令来确认文件是否被成功锁定。
解锁账号文件 passwd
和 shadow
chattr -i /etc/passwd /etc/shadow
使用 chattr 命令,并使用 -i 选项来取消文件的不可修改属性,从而解锁文件
2.密码安全控制
设置密码有效期
-m <天数>:指定密码可更改的最小天数。如果设置为 0,表示用户可以随时修改密码。
-M <天数>:指定密码保持有效的最大天数,即密码的有效期。
-w <天数>:指定用户密码到期前,提前收到警告信息的天数。
-E <日期>:指定账号的到期日期。
-d <日期>:指定用户密码上一次更改的日期。
-i <天数>:指定停滞时期,即密码过期后多少天内账号仍可用。
[root@localhost ~]# useradd laoliu
[root@localhost ~]# echo 123456 | passwd --stdin laoliu
更改用户 laoliu 的密码 。
passwd:所有的身份验证令牌已经成功更新。
[root@localhost ~]# chage -M 60 laoliu #密码有效期为60天
[root@localhost ~]#
[root@localhost ~]# chage -M 99999 laoliu #99999代表密码永不过期
[root@localhost ~]#
[root@localhost ~]# chage -d 0 laoliu #用户下次登录修改密码
3.历史命令安全管理
查看历史命令 history
限制历史命令数量 vim /etc/profile --> export HISTSIZE=XX --> source /etc/profile清空历史命令 history -c #临时清空
vim /etc/profile --> > ~/.bash_history
也可以自己在下面手动添加 👆
最后用这条 source /etc/profile 进行刷新👆
4.限制su切换用户
将信任的用户加入到wheel组中
gpasswd wheel -a 用户名
用于将指定用户添加到 wheel
组中,从而赋予该用户sudo权限 👆
[root@localhost ~]# useradd laoliu
[root@localhost ~]#
[root@localhost ~]#
[root@localhost ~]# gpasswd wheel -a laoliu
正在将用户“laoliu”加入到“wheel”组中
[root@localhost ~]# su laoliu
[laoliu@localhost root]$ su root
密码:
[root@localhost ~]#
修改su的PAM认证配置文件
vim /etc/pam.d/su -> 开启 auth required pam_wheel.so use_uid 的配置
二、Linux中的PAM安全认证
1.PAM简介
PAM(Pluggable Authentication Modules)可拔插式认证模块
允许系统管理员通过配置文件来定义系统的认证策略,从而实现灵活的用户认证方式。
使PAM成为一种高效而且灵活便利的用户级别的认证方式
也是当前Linux服务器普遍使用的认证方式
2.PAM认证原理
一般遵循的顺序:Service(服务)--> PAM(配置文件)--> pam_*.so;
首先要确定哪一项应用服务,然后加载相应的PAM的配置文件(位于/etc/pam.d下),最后调用认证模块(位于 /lib64/security/下)进行安全认证。
用户访问服务器的时候,服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM 模块也是不同的。
如果想查看某个程序是否支持 PAM 认证,可以用 ls 命令进行查看/etc/pam.d/。
3.PAM的配置文件
PAM的配置文件中的每一行都是一个独立的认证过程,它们按从上往下顺序依次由PAM模块调用
第一列代表PAM认证模块类型
auth:认证模块接口,如验证用户身份、检查密码是否可以通过,并设置用户凭据
account:账户模块接口,检查指定账户是否满足当前验证条件,如用户是否有权访问所请求的服务,检查账户是否到期
password:密码模块接口,用于更改用户密码,以及强制使用强密码配置
session:会话模块接口,用于管理和配置用户会话。会话在用户成功认证之后启动生效
第二列代表PAM控制标记
required:模块结果必须成功才能继续认证,如果在此处测试失败,则继续测试引用在该模块接口的下一个模块,直到所有的模块测试完成,才将结果通知给用户。
requisite:模块结果必须成功才能继续认证,如果在此处测试失败,则会立即将失败结果通知给用户。
sufficient:模块结果如果测试失败,将被忽略。如果sufficient模块测试成功,并且之前的required模块没有发生故障,PAM会向应用程序返回通过的结果,不会再调用堆栈中其他模块。
optional:该模块返回的通过/失败结果被忽略。一般不用于验证,只是显示信息(通常用于 session 类型)。
include:与其他控制标志不同,include与模块结果的处理方式无关。该标志用于直接引用其他PAM模块的配置参数
第三列代表PAM模块
默认是在/lib64/security/目录下,如果不在此默认路径下,要填写绝对路径。
同一个模块,可以出现在不同的模块类型中,它在不同的类型中所执行的操作都不相同,这是由于每个模块针对不同的模块类型编制了不同的执行函数。
第四列代表PAM模块的参数
这个需要根据所使用的模块来添加。
传递给模块的参数。参数可以有多个,之间用空格分隔开
三、使用sudo提权
1.使用sudo
用途:以其他用户身份(通常是超级用户,如 root)执行授权的命令
用法:sudo 授权命令
2.配置之sudo授权
visudo或者vi /etc/sudoersc
记录格式:用户主机名=命令程序列表
输入vim /etc/sudoers
四、使用别名进行授权
别名设置👇
User_Alias 大写别名=用户1, 用户2, ...
Host_Alias 大写别名=主机名1, 主机名2, ...
Cmnd_Alias 大写别名=命令路径1, 命令路径2, ...
用户别名 主机别名=命令别名
补充知识:
#设置sudo日志路径
Defaults logfile = "/var/log/sudo.log"
sudo -l #普通用户查看有哪些sudo权限
五、开关机安全控制
1.GRUB限制
GRUB限制
使用grub2-mkpasswd-pbkdf2生成密钥
修改/etc/grub.d/00_header文件中,添加密码记录
生成新的grub.cfg配置文件
为了增加系统的安全性,可以为GRUB菜单设置密码,以防止未经授权的访问者修改引导参数
使用grub2-mkpasswd-pbkdf2生成密钥👇
修改/etc/grub.d/00_header文件中,添加密码记录👇
1.使用vim编辑器打开00_header文件
2.在末尾添加密码记录
3.生成新的grub.cfg配置文件
重启完最后输入用户名和密码即可👇
2 禁止普通用户登录
👆禁止普通用户登录👆
建立/etc/nologin文件
删除nologin文件或重启后即恢复正常(rm -rf /etc/nologin)
touch /etc/nologin(禁止普通用户登录)
rm -rf /etc/nologin(取消上述登录限制)