在Linux系统中,root用户拥有至高无上的权限，可以执行任何命令，访问任何文件，虽然这种权限设置方便了系统管理，但也带来了巨大的安全风险，一旦root账户的密码泄露或被恶意利用，攻击者就能完全控制系统，造成数据泄露、系统瘫痪等严重后果，禁止root用户直接通过SSH等方式登录系统，是提升Linux服务器安全性的基本措施之一，本文将详细介绍如何禁止root登录，以及相关的安全配置和注意事项。
禁止root登录的必要性
禁止root直接登录的核心目的是减少系统被攻击的风险,root权限过大，任何误操作都可能导致灾难性后果，例如误删关键系统文件、破坏系统配置等，通过禁止root直接登录，强制管理员使用普通用户账户登录，再通过su或sudo命令获取临时权限，可以有效减少误操作的风险，普通用户的权限受限，即使账户被破解，攻击者也只能访问该用户自己的文件和资源，难以对整个系统造成危害，禁止root登录还能帮助管理员更好地追踪操作记录，因为普通用户使用sudo执行命令时，系统会详细记录命令的执行者和执行内容，便于审计和排查问题。
禁止root登录的主要方法
在Linux系统中,禁止root登录主要有两种方法：一种是修改SSH服务的配置文件，限制root用户的SSH登录权限；另一种是通过PAM（Pluggable Authentication Modules）模块进行更灵活的控制，修改SSH配置是最常用且简单有效的方法。
修改SSH配置文件
SSH（Secure Shell）是Linux系统中远程管理服务器的常用工具，通过修改SSH的配置文件/etc/ssh/sshd_config，可以轻松实现禁止root登录，具体步骤如下：
-
编辑SSH配置文件：使用文本编辑器（如
vi或nano）打开/etc/ssh/sshd_config文件，命令为sudo vi /etc/ssh/sshd_config。 -
修改PermitRootLogin参数：在文件中找到
PermitRootLogin这一行，根据需要修改其值：PermitRootLogin yes：允许root用户直接登录（默认值，不安全）。PermitRootLogin no：禁止root用户直接登录（推荐设置）。PermitRootLogin prohibit-password：禁止root用户使用密码登录，但允许使用密钥对认证（如果已配置root用户的SSH密钥）。
为了彻底禁止root登录，建议将此行设置为PermitRootLogin no。
-
保存并退出文件：在
vi编辑器中，按Esc键，然后输入wq保存并退出。 -
重启SSH服务：使配置生效，需要重启SSH服务，命令为
sudo systemctl restart sshd（对于使用systemd的系统，如Ubuntu 16.04+、CentOS 7+）或sudo service ssh restart（对于较旧的系统）。
完成以上步骤后,root用户将无法通过SSH直接登录系统，如果尝试登录，系统会提示“Permission denied (publickey,password).”之类的错误信息。
使用PAM模块进行限制
除了修改SSH配置,还可以通过PAM模块对root登录进行更精细的控制，可以限制root只能在控制台（tty）登录，而不能通过网络登录，这种方法需要修改/etc/pam.d/login或/etc/pam.d/sshd文件，添加相应的PAM规则，在/etc/pam.d/sshd文件中添加auth required pam_listfile.so item=user sense=deny file=/etc/ssh/denyusers onerr=succeed，并在/etc/ssh/denyusers文件中添加root，可以禁止root通过SSH登录，这种方法相对复杂，通常情况下，修改SSH配置已经足够。
禁止root登录后的管理策略
禁止root登录后,管理员需要建立一套新的用户管理和权限分配机制，需要创建一个或多个普通用户账户，并将其加入sudo组，使其具有使用sudo命令获取root权限的能力，在Ubuntu/Debian系统中，创建用户时使用adduser username命令，该用户默认会被加入sudo组；在CentOS/RHEL系统中，可以使用useradd -G wheel username命令创建用户并将其加入wheel组（wheel组是默认的sudo用户组）。
sudo命令允许授权用户以其他用户（通常是root）的身份执行命令，使用sudo时，系统会要求输入当前用户的密码，而不是root密码，这有助于保护root密码的安全。sudo的日志功能会记录所有通过sudo执行的命令，包括执行者、时间和命令内容，便于审计，管理员可以通过/etc/sudoers文件配置sudo的权限规则，例如限制某些用户只能执行特定的命令，或者不需要输入密码即可执行sudo命令（不推荐，除非有特殊需求）。
密码策略与SSH密钥认证
在禁止root登录的同时,加强用户账户的安全防护同样重要，应设置强密码策略，要求密码长度足够长、包含大小写字母、数字和特殊符号，并定期更换密码，可以通过/etc/login.defs和/etc/pam.d/common-password文件配置密码复杂度和有效期，启用SSH密钥认证是一种比密码认证更安全的方式，用户可以生成自己的公钥和私钥，将公钥上传到服务器的~/.ssh/authorized_keys文件中，登录时使用私钥进行认证，无需输入密码，即使root账户存在，如果没有对应的私钥，也无法登录，还应禁用密码登录，强制使用密钥认证，以防止暴力破解攻击，在/etc/ssh/sshd_config文件中，设置PasswordAuthentication no即可。
其他安全加固措施
除了禁止root登录外,还可以采取其他措施进一步加固系统安全，定期更新系统和软件包，修复已知的安全漏洞；使用防火墙（如iptables或firewalld）限制不必要的网络访问；禁用或删除不必要的服务和账户；定期检查系统日志，发现异常行为及时处理；使用入侵检测系统（如fail2ban）防止暴力破解等，这些措施与禁止root登录相结合，可以构建一个多层次的防御体系，有效保护系统的安全。
注意事项
在禁止root登录之前,需要确保已经创建了具有sudo权限的普通用户账户，并且该账户可以正常登录和使用sudo命令，否则，一旦禁止root登录而又没有其他管理员账户，可能会被锁定系统，导致无法进行管理操作，修改SSH配置文件时，建议先备份原文件，以防配置错误导致无法远程登录，只能通过控制台进行恢复，如果系统是云服务器，还可以通过控制台的VNC或串口终端进行紧急访问。
禁止root登录是Linux系统安全管理的最佳实践之一,它通过限制最高权限账户的直接访问，有效降低了系统被攻击的风险，管理员在实际操作中，应结合自身需求选择合适的方法，并配合其他安全措施，构建一个安全、稳定的Linux服务器环境，建立完善的用户权限管理制度和操作审计机制，也是保障系统安全不可或缺的重要环节。
