目录：
1、系统账号清理
2、密码安全控制
3、命令历史限制
4、终端自动注销
1、用途及用法
2、验证密码
3、限制使用SU命令的用户
4、查看SU操作记录
1、SU命令的安全隐患
2、PAM（Pluggable Authentication Modules）可插拔式认证模块
3、PAM认证原理
4、PAM认证的构成
5、PAM安全认证的流程
1、sudo命令的用途及用法
2、配置sudo授权
3、查看sudo操作记录
4、查看授权的sudo操作
1、系统账号清理
●将非登录用户的Shell设为/sbin/nologin
1 usermod-s/sbin/nologin 用户名
●锁定长期不使用的账号
passwd -l 用户名 usermod -L 用户名 passwd -S 用户名
●删除无用的账号
userdel 【-r】用户名
●锁定账号文件passwd、shadow
chattr +i /etc/passwd /etc/shadow ##锁定文件 lsattr /etc/passwd /etc/shadow ##查看情况 chattr-i /etc/passwd /etc/shadow ##解锁文件
2、密码安全控制
设置密码有效期
要求用户下次登录时修改密码
适用于新建用户:
vi /etc/login.defs
适用于已有用户:
chage -M xx xx
强行在下次登录时更改密码:
chage -d 0 xxx
3、命令历史限制
减少命令的记录条数
vi /etc/profile
登录时自动清空历史命令
vi .bashrc echo " " > ~/.bash_history
登录时自动清空命令历史:
vi .bashrc
echo " " > ~/.bash_history
4、终端自动注销
闲置XX秒后自动注销
1、su命令用途及用法
用途：切换用户
格式：su - 目标用户名
2、密码验证
root——》任意用户，不验证密码
普通用户——》其他用户，验证目标用户的密码
3、限制使用su命令的用户
将允许使用su命令的用户加入wheel组
启用pam_wheel认证模块
gpasswd -a lili wheel #添加授权用户zhangsan 到wheel组中 groups lili vim /etc/pam.d/su auth required pam_wheel.so use_uid #去掉此行开头的注释 启用pam_wheel认证以后，未加入到wheel组内的其他用户将无法使用su命令
4、查看su操作记录
安全日志文件∶/var/log/secure
1、su命令的安全隐患
- 默认情况下，任何用户都允许使用su命令，有机会反复尝试其他用户（如root）的登录密码，带来安全风险
- 为了加强su命令的使用控制，可借助于PAM认证模块，只允许极个别用户使用su命令进行切换
2、PAM（Pluggable Authentication Modules）可插拔式认证模块
- 是一种高效而且灵活便利的用户级别的认证方式
- 也是当前Linux服务器普遍使用的认证方式
3、PAM认证原理
一般遵循的顺序
●Service（服务）→PAM（配置文件）→pam_*.so
首先要确定哪一项服务，然后加载相应的PAM的配置文件（位于/etc/pam.d下），最后调用认证文件（位于/lib64/security 下）进行安全认证
用户访问服务器时，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证
不同的应用程序所对应的PAM模块是不同的
4、PAM认证的构成
查看某个程序是否支持PAM认证，可以用Is命令
●示例∶ 查看su是否支持PAM模块认证
ls /etc/pam.d | grep su
■查看su的PAM配置文件∶ cat /etc/pam.d/su
●每一行都是一个独立的认证过程
●每一行可以区分为三个字段
- 认证类型
- 控制类型
- PAM模块及其参数
第一列代表PAM认证模块类型
auth∶ 对用户身份进行识别，如提示输入密码，判断是否为root。
account∶ 对账号各项属性进行检查，如是否允许登录系统，帐号是否已经过期，是否达到最大用 户数等。 password∶ 使用用户信息来更新数据，如修改用户密码。
session∶ 定义登录前以及退出后所要进行的会话操作管理，如登录连接信息，用户数据的打开和关闭，挂载文件系统。
第二列代表PAM控制标记
reguired∶ 表示需要返回一个成功值， 如果返回失败，不会立亥将失败结果返回，而是继续进行同类型的下一一验证，所有此类型的模块都执行完成后，再返回失败。
requisite∶ 与required类似，但如果此模块返回失败，则立刻返回失败并表示此类型失败。
sufficient∶ 如果此模块返回成功，则直接向程序返回成功，表示此类成功， 如果失败， 也不影响这类型的返回值。 optional∶不进行成功与否的返回，一般不用于验证，只是显示信息（通常用于 session 类型）。
include∶ 表示在验证过程中调用其他的PAM配置文件。比如很多应用通过完整调用/etc/pam.d/system-auth（主要负责用户登录系统的认证工.作）来实现认证而不需要重新逐一去写配置项。
第三列代表PAM模块，默认是在/1ib64/security/ 目录下，如果不在此默认路径下， 要填写约对路径。
同一个模块，可以出现在不同的模块类型中，它在不同的类型中所执行的操作都不相同，这是由于每个模块针对不同的模块类型编制了不同的执行函数。
第四列代表PAM模块的参数，这个需要根据所使用的模块来添加。传递给模块的参数。参数可以有多个，之间用空格分隔开。
5、PAM安全认证流程
控制类型也称做Control Flags，用于PAM验证类型的返回结果
1.required验证失败时仍然继续，但返回Fail
2.requisite验证失败则立即结束整个验证过程，返回Fail
3.sufficient验证成功则立即返回，不再继续，否则忽略结果并继续
4.optional不用于验证，只显示信息（通常用于session类型）
1、sudo命令的用途及用法
- 用途∶ 以其他用户身份（如root）执行授权的命令
- 用法：sudo 授权命令
2、配置sudo授权
- visudo或者vi /etc/sudoers
- 记录格式 ：用户 主机名=命令程序列表
注：带有感叹号的意思为 不可以执行这个操作
使用关键字User_ Alias、Host_ Alias、Cmnd_ Alias 来进行设置别名( 别名必须为大写)
User_Alias USERS=Tom, Jerry, Mike Host_Alias HOSTS=localhost, bogon Cmnd_Alias CMNDS=/ sbin/ ifconfig, /usr/ sbin/useradd,/usr/sbin/ userdel USERS HOSTS=CMNDS USERS HOSTS=NOPASSWD:CMNDS #执行过程不需要验证密码
3、查看sudo操作记录
cat /var/log/sudo
4、查看授权的sudo操作
sudo -l
初次使用sudo时需验证当前用户的密码，默认超时时长为5分钟，在此期间不再重复验证密码
&&查看状态
? Isattr /etc/passwd /etc/shadow
? chattr -i /etc/passwd /etc/shadow
vi /etc/login.defs
chage -M xx xx
chage -d 0 xxx
vi /etc/profile
vi .bashrc
echo " " > ~/.bash_history
? vim /etc/pam.d/ su
? 启用pam_ wheel认证模块
安全日志文件：/var/log/secure
Tom ALL=/ sbin/ ifconfig
? 需启用Defaults logfile配置
? 默认日志文件: /var/log/sudo
sudo -l