如何限制根访问权限范围

限制 root 用户的访问权限范围是 Linux 系统安全加固的重要部分。完全“禁用 root”通常不现实，但可以通过多种手段缩小 root 的能力范围、使用场景和攻击面。下面按常用且有效的方式说明。

一、禁止 root 直接登录（最基础）

1. 禁止 root 远程登录（SSH）

编辑：

/etc/ssh/sshd_config

设置：

PermitRootLogin no

重启 SSH：

systemctl restart sshd

✅ 效果：root 不能直接 SSH 登录，必须先普通用户 + sudo

二、使用 sudo 精细授权（代替 root）

2. 用 sudo 限制命令范围

编辑：

/etc/sudoers
# 或用
visudo

示例（只允许某用户重启服务）：

alice ALL=(root) /usr/bin/systemctl restart nginx

✅ 效果：用户只能以 root 执行指定命令

三、限制 root 执行能力（Capability）

3. 使用 Linux Capabilities 替代 root

避免给程序 root 权限，只给必要能力：

setcap cap_net_bind_service=+ep /usr/bin/nginx

✅ 效果：程序无需 root 也能绑定 80 端口

四、限制 root 可访问的资源

4. 使用 SELinux / AppArmor

• SELinux：限制 root 能访问的文件、端口、进程
• AppArmor：限制程序行为

示例（SELinux）：

setenforce 1

✅ 效果：即使是 root，也受策略限制

五、限制 root 使用环境

5. 限制 root 的 PATH 和环境

在 /root/.bashrc 中：

PATH=/sbin:/usr/sbin

避免 root 执行未知目录中的脚本。

六、审计 root 操作

6. 强制 root 操作留痕

• sudo 自动记录日志
• 使用 auditd：

auditctl -w /etc -p wa -k etc_change

✅ 效果：root 做了什么可追溯

七、进一步极端方案（特殊场景）

7. 锁死 root 密码

passwd -l root

8. 使用通用管理账号 + sudo

完全不登录 root：

su -   # 不允许
sudo -i  # 允许

推荐组合（生产环境）

✅ 禁止 root 远程登录
✅ 普通用户 + sudo 精确授权
✅ 开启 SELinux / AppArmor
✅ 审计 root 行为

如果你能说明：

• 使用场景（服务器 / 容器 / 云主机）
• 系统（CentOS / Ubuntu / 容器）

我可以给你一套可直接执行的安全配置方案。