首页/新闻资讯/正文详情

Linux服务器SCMP整改实践:禁用SSH Root远程登录(PermitRootLogin no)修复指南

发布时间:2026/9/24 11:07:49 来源:云帆数科 栏目:资讯中心
Linux服务器SCMP整改实践:禁用SSH Root远程登录(PermitRootLogin no)修复指南
目录一、背景二、现象分析三、根因定位四、整改前准备五、验证 Sudo 权限六、整改实施七、验证整改结果八、本次整改经验总结九、标准验证清单一、背景在企业 Linux 安全基线检查中经常会遇到如下检查项检查项内容类别Configure SSH Server检查项Ensure SSH root login is disabled该检查项的目标是禁止通过 SSH 直接使用 Root 账户远程登录服务器降低暴力破解、凭据泄露及横向移动风险。需要特别说明的是禁止 Root SSH 登录 ≠ 禁用 Root 账户整改后仍可通过普通运维账号登录再通过 sudo 获取 Root 权限。推荐模式运维账号sudo -iroot二、现象分析发现配置已修改但仍能 Root 登录检查配置文件grepPermitRootLogin /etc/ssh/sshd_config发现PermitRootLogin no理论上已经关闭 Root 登录。但是再次测试sshrootserver仍然可以正常登录。说明实际生效配置并非来自主配置文件。三、根因定位检查 SSH 配置引用关系grep-nInclude /etc/ssh/sshd_config发现Include /etc/ssh/sshd_config.d/*.conf继续检查所有相关配置grep-RPermitRootLogin/etc/ssh/sshd_config*发现/etc/ssh/sshd_config.d/01-permitrootlogin.conf:PermitRootLogin yes实际配置变成渲染错误:Mermaid 渲染失败: Lexical error on line 2. Unrecognized text. .../etc/ssh/sshd_config] -- B[Include] -----------------------^导致主配置中的设置被覆盖。四、整改前准备在关闭 Root SSH 登录之前必须确认已经存在可用运维账号。查看用户id运维账号若不存在则创建useradd-m运维账号设置密码passwd运维账号加入管理员组usermod-aGwheel运维账号验证id运维账号示例uid1001(运维账号) gid1001(运维账号) groups1001(运维账号),10(wheel)五、验证 Sudo 权限切换账号su-运维账号查看权限sudo-l应显示(ALL) ALL验证提权sudo-i检查whoami结果root说明普通运维账号可以正常接管系统管理权限。六、整改实施1. 备份原配置cp-p\/etc/ssh/sshd_config.d/01-permitrootlogin.conf\/etc/ssh/sshd_config.d/01-permitrootlogin.conf.bak2. 修改配置覆盖原文件echoPermitRootLogin no\/etc/ssh/sshd_config.d/01-permitrootlogin.conf查看确认cat/etc/ssh/sshd_config.d/01-permitrootlogin.conf结果PermitRootLogin no3. 校验配置重启前先检查语法sshd-t正常情况下无任何输出。4. 重启服务systemctl restart sshd检查状态systemctl status sshd --no-pager结果应为Active: active (running)七、验证整改结果方法一查看最终生效配置推荐执行sshd-T|greppermitrootlogin结果permitrootlogin no注意sshd-T显示的是SSHD 最终生效配置。相比查看配置文件catsshd_config更加准确可靠。方法二验证运维账号测试登录ssh运维账号server登录成功后sudo-i验证whoami结果root说明运维链路正常。方法三验证 Root 被拒绝执行sshrootserver输入密码后Permission denied或者Permission denied, please try again.最终会拒绝登录。说明 Root 远程登录已关闭。八、本次整改经验总结本次问题并非配置错误而是 SSH 配置继承机制导致。错误认知修改/etc/ssh/sshd_config 整改完成实际情况主配置文件Include 配置目录附加配置覆盖最终生效配置必须使用以下命令确认真实状态sshd-T|greppermitrootlogin不要仅依赖cat/etc/ssh/sshd_config进行判断。九、标准验证清单整改完成后应满足状态验收项☐存在运维账号☐运维账号具备 sudo 权限☐sudo -i正常☐sshd -t检查通过☐sshd 服务正常运行☐sshd -T显示permitrootlogin no☐运维账号 SSH 登录成功☐Root SSH 登录失败全部通过后即可满足 “Ensure SSH root login is disabled” 安全基线要求并降低 Linux 服务器远程管理风险。

相关推荐

ESP32 SPI驱动W5500以太网实战:从时序到稳定运行
ESP32 SPI驱动W5500以太网实战:从时序到稳定运行

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/9/24 11:07:49

固态激光雷达如何让AGV装上“火眼金睛”:从选型到部署全解析
固态激光雷达如何让AGV装上“火眼金睛”:从选型到部署全解析

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/9/24 11:07:49

Spectrum 前端 GraphQL Fragments 最佳实践:从粒度拆分到性能约束的完整指南
Spectrum 前端 GraphQL Fragments 最佳实践:从粒度拆分到性能约束的完整指南

后端前端即时通讯社交 【免费下载链接】spectrum Simple, powerful online communities. 项目地址: https://gitcode.com/gh_mirrors/sp/spectrum 点击查看 免费下载 导读 Fragments 是 Spectrum 开源社区项目中前端与 GraphQL API 交互的核心基础设施&#xff1a… · 2026/9/24 11:07:37

用Python清洗Word题库:从杂乱文档到高效刷题系统
用Python清洗Word题库:从杂乱文档到高效刷题系统

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/9/24 11:43:44

【计算机毕业设计单片机案例】基于 STM32 的按键可配置阈值智能柜体监控系统设计 基于 STM32 的室内环境感知与柜体照明联动系统设计(012009)
【计算机毕业设计单片机案例】基于 STM32 的按键可配置阈值智能柜体监控系统设计 基于 STM32 的室内环境感知与柜体照明联动系统设计(012009)

博主介绍:✌️码农一枚 ,专注于大学生项目实战开发、讲解和毕业🚢文撰写修改等。全栈领域优质创作者,博客之星、掘金/华为云/阿里云/InfoQ等平台优质作者、专注于嵌入式单片机,Java、小程序技术领域和毕业项目实战 ✌️… · 2026/9/24 11:43:44

NFC天线匹配实战:从VNA测量到PN7160读距优化的完整调试流程
NFC天线匹配实战:从VNA测量到PN7160读距优化的完整调试流程

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/9/24 11:43:36

Apache ECharts 6.7 万 Star,数据可视化首选
Apache ECharts 6.7 万 Star,数据可视化首选

一、项目背景及简介 做数据可视化时,你还在用 Chart.js 反复调样式?或者用 D3.js 从头画图?前者功能太弱,后者学习成本太高。有没有一个库,既开箱即用又高度可定制,还能在百万级数据量下流畅运行&#xff… · 2026/9/24 11:43:29

RP2040 + PIO 打造微型USB显示屏:原理、配置与实战玩法
RP2040 + PIO 打造微型USB显示屏:原理、配置与实战玩法

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/9/24 11:43:23

EV1527解码实战:从示波器波形到单片机C语言实现
EV1527解码实战:从示波器波形到单片机C语言实现

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/9/24 11:43:23

基于YOLOv8的渔船作业监控系统:从环境搭建到边缘部署全流程
基于YOLOv8的渔船作业监控系统:从环境搭建到边缘部署全流程

简介:这是一套面向计算机、人工智能、自动化等专业学生与教师的毕业设计级项目资源,围绕YOLOv8实现渔船作业监控系统,可用于毕设、课程设计、大作业或项目立项演示。压缩包共97个文件,约24.21MB,以70个Python源码文件为… · 2026/9/24 0:00:13

1D-CNN时间序列建模实战:从Conv1d原理到工业落地
1D-CNN时间序列建模实战:从Conv1d原理到工业落地

简介:面向时间序列数据建模的一维卷积神经网络完整实现,适合深度学习入门者及需要快速验证时序模型的研究者,能够从音频、文本、传感器或股价等序列中挖掘局部特征与时间依赖。压缩包体积很小,只有3KB,内含3个Python脚… · 2026/9/24 0:00:26

柔软的L:汉语语流中被忽视的舌肌张力控制
柔软的L:汉语语流中被忽视的舌肌张力控制

1. 这个“L”不是字母表里的L,而是舌尖上的L最近在几个方言群和语音教学社群里,反复看到有人发一句:“也说字母L:柔软的长舌”。初看以为是英语发音课笔记,点开才发现全是方言爱好者、播音系学生、语言康复师甚至戏曲演… · 2026/9/24 0:00:44

了解更多?预约专属演示

我们的顾问将为您一对一讲解产品与方案

企业微信二维码