16 用户管理 #

请务必锁定未用于登录的所有系统帐户和供应商帐户。要获取您系统中未锁定帐户的列表，您可以查找不含以 ! 或 * 开头（在 /etc/shadow 文件中）的加密口令字符串的帐户。如果使用 passwd -l 锁定帐户，将会在加密口令之前添加 !! ，以有效禁用该口令。如果使用 usermod -L 锁定帐户，将会在加密口令之前添加 ! 。默认情况下，许多系统和共享帐户通常都由口令字段中的 * 或 !! 进行锁定，这会让加密口令变为无效字符串。因此，要获取所有未锁定（可加密）帐户的列表，请运行以下命令：

root # egrep -v ':\*|:\!' /etc/shadow | awk -F: '{print $1}'

同时确保所有帐户在 /etc/passwd 中的口令字段中都有一个 x。以下命令列出口令字段中没有 x 的所有帐户：

root # grep -v ':x:' /etc/passwd

口令字段中的 x 表示该口令已阴影化，例如，需要在 /etc/shadow 文件中查找加密口令。如果 /etc/passwd 中的口令字段为空，则系统将不会查找阴影文件，并且不会在出现登录提示时提示用户提供口令。

应从系统中去除未被用户、应用程序、系统或守护程序使用的所有系统帐户或供应商帐户。您可以使用以下命令，查找特定帐户是否拥有任何文件：

root # find / -path /proc -prune -o -user ACCOUNT -ls

在此示例中，-prune 选项用于跳过 /proc 文件系统。如果您确定可以删除某个帐户，可以使用以下命令去除该帐户：

root # userdel -r ACCOUNT

如果没有 -r 选项，userdel 将不会删除用户的主目录和邮件假脱机目录 (/var/spool/mail/USER)。请注意，许多系统帐户都没有主目录。

SUSE Linux Enterprise Server 可利用 pam_cracklib 库测试弱口令，并在确定口令明显较弱时建议使用较强的口令。以下参数示例可能属于公司口令策略的一部分，或者由于审计约束而需要的某些设置。

PAM 库遵循定义的流程。通常，设计完美堆栈的最佳方式是考虑所有要求和策略并绘制流程图。

要设置这些口令限制，请使用 pam-config 工具指定您要配置的参数。例如，可使用如下命令修改最小长度参数：

tux > sudo pam-config -a --cracklib-minlen=8 --cracklib-retry=3 \
--cracklib-lcredit=-1 --cracklib-ucredit=-1 --cracklib-dcredit=-1 \
--cracklib-ocredit=-1 --cracklib

现在校验新口令限制是否适用于新口令。登录非 root 帐户并使用 passwd 命令更改口令。请注意，如果您在 root 下运行 passwd 命令，则不会强制执行上述要求。

pam_pwhistory 模块可用于配置无法重复使用的先前口令数量。以下命令可在系统上实施口令限制，如此至少六个月内无法重复使用某个口令。

tux > sudo pam-config -a --pwhistory --pwhistory-remember=26

回想一下，在第 16.2 节 “启用口令时效”中我们将 PASS_MIN_DAYS 设置为 7，该选项指定了两次口令更改之间的最少天数。因此，如果 pam_unix 配置为记住 26 个口令，则至少六个月（26*7 天）内无法重复使用先前曾使用过的口令。

pam-config 命令生成的 PAM 配置 (/etc/pam.d/common-auth) 如下所示：

auth      required   pam_env.so
auth      required   pam_unix.so     try_first_pass
account   required   pam_unix.so     try_first_pass
password  requisit   pam_cracklib.so
password  required   pam_pwhistory.so        remember=26
password  optional   pam_gnome_keyring.so    use_authtok
password  required   pam_unix.so     use_authtok nullok shadow try_first_pass
session   required   pam_limits.so
session   required   pam_unix.so     try_first_pass
session   optional   pam_umask.so

在到达所定义的 ssh、login、su 或 sudo 失败尝试次数后锁定帐户是一种常见的安全做法。但如果应用程序、管理员或 root 用户被锁定，则可能会导致服务中断。实际上，如果故意大量制造登录失败，就很容易会导致拒绝服务攻击。幸好可以直接通过 PAM 来控制此情况。

默认情况下，PAM 允许所有 root 登录。使用 pam_tally2 可控制所有其他用户（包括人类用户和系统用户）的失败登录行为。将下面一行添加到 /etc/pam.d/login 上方可在六次登录失败之后锁定所有用户（root 用户除外），并在十分钟后自动解锁帐户：

auth required pam_tally2.so deny=6 unlock_time=600

下面是一个完整的 /etc/pam.d/login 文件示例：

#%PAM-1.0
auth     requisite      pam_nologin.so
auth     include        common-auth
auth     required       pam_tally2.so deny=6 unlock_time=600
account  include        common-account
account  required       pam_tally2.so
password include        common-password
session  required       pam_loginuid.so
session  include        common-session
#session  optional       pam_lastlog.so nowtmp showfailed
session  optional       pam_mail.so standard

您也可以锁定 root 用户，不过显然您必须非常确定要执行此操作：

auth required pam_tally2.so deny=6 even_deny_root unlock_time=600

您可以为 root 用户定义不同的锁定时间：

auth required pam_tally2.so deny=6 root_unlock_time=120  unlock_time=600

如果您希望必须由管理员来解锁帐户，请不要使用 unlock_time 选项。下面两个示例命令显示失败的登录尝试次数以及如何锁定用户帐户：

root # pam_tally2 -u username
Login           Failures Latest failure     From
username            6    12/17/19 13:49:43  pts/1

root # pam_tally2 -r -u username

尝试访问的默认位置记录在 /var/log/tallylog 中。

如果用户在登录超时失效后或在管理员重设置其帐户之后成功登录，计数器将重设置为 0。

配置其他登录服务，以在 /etc/pam.d/ 下其各自的配置文件中使用 pam_tally2：sshd、su、sudo、sudo-i 和 su-l。

TTY 设备通过控制台提供文本模式的系统访问权限。对于桌面系统，通过本地键盘进行访问；如果是服务器系统，则通过连接到 KVM 交换机或远程管理卡（例如 ILO 和 DRAC）的输入设备进行访问。Linux 默认会提供 6 个不同的控制台，在文本模式下运行时，可通过组合键 Alt–F1 到 Alt–F6 切换它们；在图形会话中运行时，可通过组合键 Ctrl–Alt–F1 到 Ctrl–Alt–F6 进行切换。关联的终端设备命名为 tty1 至 tty6。

下面的步骤限制对第一个 TTY 的 root 访问。此访问方法仅作为系统的紧急访问方式，绝不应将其用于日常系统管理任务。

注意

此处显示的步骤根据 PC 体系结构（x86 和 AMD64/Intel 64）进行定制。在 POWER 等体系结构上，可以使用 tty1 以外的其他终端设备名称。请小心不要因为指定了错误的终端设备名称而将您自己完全锁定。您可以通过运行 tty 命令确定当前登录的终端的设备名称。请注意不要在虚拟终端（例如通过 SSH）或图形会话（设备名称 /dev/pts/N）中执行此操作，而只通过实际登录终端（可通过 Alt–FN 访问）进行操作。

重要

请不要将 pam_securetty 模块添加到 /etc/pam.d/common-auth 文件中。这将破坏 su 和 sudo 命令，因为这些工具也会拒绝 root 身份验证。

重要

这些配置更改还将导致拒绝在 /dev/ttyS0 等串行控制台上进行 root 登录。如果您需要此类用例，则需要在 /etc/securetty 文件中额外列出相应的 TTY 设备。

要提高您服务器的安全性，请完全避免使用图形环境。通常，图形程序不会设计为以 root 身份运行，因此与控制台程序相比更可能包含安全问题。如果您需要图形登录，请使用非 root 登录。配置您的系统，禁止通过 root 登录图形会话。

为了防止通过 root 登录图形会话，您可以采用第 16.5.1 节 “限制本地文本控制台登录”中概述的相同基本步骤。只需将 pam_securetty 模块添加到属于显示管理器的 PAM 堆栈文件 — 例如，GDM 的 /etc/pam.d/gdm。图形会话还会在 TTY 设备上运行：默认为 tty7。因此，如果您限制 root 登录到 tty1，将拒绝通过 root 登录图形会话。

默认情况下，还允许 root 用户通过 SSH 网络协议远程登录计算机（如果 SSH 端口未被防火墙阻止）。要限制此类登录，请对 OpenSSH 配置进行以下更改：

注意

对于 OpenSSH，不适合使用 PAM pam_securetty 模块，因为在授权期间并非所有 SSH 登录都会通过 PAM 堆栈进行（例如使用 SSH 公共密钥身份验证时）。此外，攻击者能够区分错误口令和策略只能在稍后予以拒绝的成功登录。

以下示例演示了设置或限制 Oracle 用户帐户的系统资源使用的实际用法。有关系统资源设置列表，请参见 /etc/security/limits.conf 或 man limits.conf。

Bash 等大多数外壳都会提供基于用户的各种资源控制（例如允许的打开文件描述符数量上限或最大进程数）。要检查外壳中的所有当前限制，请执行以下命令：

root # ulimit -a

有关 Bash 外壳的 ulimit 的详细信息，请查看 Bash 手册页。

重要：设置 SSH 会话的限制

使用 SSH 会话时，设置“硬”限制和“软”限制可能不会起到预期的效果。要查看有效行为，可能需要以 root 身份登录，然后使用 su 命令切换到权限受限的身份（例如，在这些示例中为 Oracle）。假设应用程序在引导过程中已自动启动，资源限制也应生效。如果通过 SSH 对资源限制进行的更改似乎未生效，可能需要将 /etc/ssh/sshd_config 中的 UsePrivilegeSeparation 设置为 no，并重启动 SSH 守护程序 (systemctl restart sshd)。但一般不建议这样做，因为这会降低系统安全性。

提示：禁用通过 ssh 进行口令登录功能

您可以通过禁用 SSH 的口令身份验证来为服务器增加一定程度的安全性。请记住，您需要配置 SSH 密钥，否则无法访问服务器。要禁用口令登录，请在 /etc/ssh/sshd_config 中添加下面几行：

UseLogin no
UsePAM no
PasswordAuthentication no
PubkeyAuthentication yes

在此示例中，可通过以 root 身份编辑 /etc/security/limits.conf 并进行以下更改，来更改用户 oracle 可使用的文件句柄数或打开的文件数：

oracle           soft    nofile          4096
oracle           hard    nofile          63536

第一行中的软限制定义了登录后 oracle 用户将拥有的文件句柄（打开的文件）数目限制。如果用户看到有关文件句柄用尽的错误消息，则可以执行以下命令，将此示例中所示的文件句柄数增加到硬限制（在此示例中为 63536）：

root # ulimit -n 63536

必要时，您可以设置更高的软限制和硬限制。

注意

请务必合理利用 ulimit。允许用户的 nofile 的“硬”限制（相当于内核限制 (/proc/sys/fs/file-max)）是非常糟糕的设置！如果用户占用了所有可用文件句柄，系统将无法启动新的登录，因为它无法访问执行登录所需的 PAM 模块。

您还需要确保在 /etc/pam.d/common-auth 中全局配置 pam_limits，或者针对以下文件中的 SSH、su、login 和 telnet 等个别服务进行配置：

如果您不想为所有登录启用该配置，会有一个特定 PAM 模块读取 /etc/security/limits.conf 文件。PAM 配置指令中的项将如下所示：

session     required      /lib/security/pam_limits.so
session     required      /lib/security/pam_unix.so

请务必注意，更改不会立即生效，需要新的登录会话：

root # su - oracle
tux > ulimit -n
4096

请注意，这些示例特定于 Bash 外壳；其他外壳的 ulimit 选项会有所不同。用户 oracle 的默认限制为 4096。要将用户 oracle 可使用的文件句柄数增加至 63536，请执行以下命令：

root # su - oracle
tux > ulimit -n
4096
tux > ulimit -n 63536
tux > ulimit -n
63536

要使其成为永久设置，需要向用户配置文件（~/.bashrc 或 ~/.profile 文件）添加设置 ulimit -n 63536（仍是适用于 Bash），该配置文件为 SUSE Linux Enterprise Server 上的 Bash 外壳的用户启动文件（要校验外壳，请运行 echo $SHELL）。为此，可以针对用户 oracle 的 Bash 外壳运行以下命令：

root # su - oracle
tux > cat >> ~oracle/.bash_profile << EOF
ulimit -n 63536
EOF