账号安全基本措施
系统账号清理
- 将用户设置为无法登录、
- 锁定账户
- 删除账户
- 锁定账户密码 本质锁定
shell——/sbin/nologin却比较特殊，所谓“无法登陆”指的仅是这个用户无法使用bash或其他shell来登陆系统而已，并不是说这个账号就无法使用系统资源。举例来说，各个系统账号中，打印作业有lp这个账号管理，www服务器有apache这个账号管理，他们都可以进行系统程序的工作，但就是无法登陆主机而已。
将用户设置为无法登录
tail /etc/passwd
锁定用户
锁定passwd -l zhaosi，解锁passwd -u zhaosi
删除账户
userdel -r 用户名
锁定配置文件
chattr
+- ，a 让文件或目录仅供附加用途。只能追加
+-，i 不得任意更动文件或目录。
密码安全控制
查看编辑 vim /etc/login.defs
chage
chage [选项] 用户名
-m：密码可更改的最小天数。为零时代表任何时候都可以更改密码。
-M：密码保持有效的最大天数。
-w：用户密码到期前，提前收到警告信息的天数。
-E：帐号到期的日期。过了这天，此帐号将不可用。
-d：上一次更改的日期。
-i：停滞时期。如果一个密码已过期这些天，那么此帐号将不可用。
-l：例出当前的设置。由非特权用户来确定他们的密码或帐号何时过期。
命令历史
Shell 环境的命令历史机制为用户提供了极大的便利，但另一方面也给用户带来了潜在 的风险。只要获得用户的命令历史文件，该用户的命令操作过程将会一览无余，如果曾经在 命令行输入明文的密码，则无意之中服务器的安全壁垒又多了一个缺口。 Bash 终端环境中，历史命令的记录条数由变量 HISTSIZE 控制，默认为 1000 条。通 过修改/etc/profile 文件中的 HISTSIZE 变量值，可以影响系统中的所有用户。例如，可以设 置最多只记录 200 条历史命令
临时清空
history -c
clear
临时修改历史条数
export HISTSIZE=200
vim /etc/profile//设置历史命令条数记录为200条 HISTSIZE=200 ，source /etc/profile 立即生效
vim .bash_logout ，echo " " >/.bash_history，注销立刻清空历史命令/.bash_history ，登录立刻清空历史命令
vim .bashrc，echo " " >
切换用户
- su命令即 switch user，命令可以切换用户身份，并且以指定用户的身份执行命令
su [options...] [-] [user [args...]]
切换用户的方式：
su UserName：非登录式切换，即不会读取目标用户的配置文件，不改变当前工作目录，即不完全切换
su - UserName：登录式切换，会读取目标用户的配置文件，切换至自已的家目录，即完全切换
说明：root su至其他用户无须密码；非root用户切换时需要密码
注意：su 切换新用户后，使用 exit 退回至旧的用户身份，而不要再用 su 切换至旧用户，否则会生成很多的bash子进程，环境可能会混乱
su 与 su-
即有 - 选项，切换用户身份更彻底；反之，只切换了一部分，这会导致某些命令运行出现问题或错误（例如无法使用 service 命令）。
限制使用su命令的用户
gpasswd -a lisi wheel
vim /etc/pam.d/su
启用：
#auth sufficient pam_ rootok.so
#auth required pam_ wheel.so use__uid
以上两行是默认状态(即开启第一行，注释第二行)，这种状态下是允许所有用户间使用su命令进行切换的
两行都注释也是允许所有用户都能使用su命令，但root'下使用su切换到其他普通用户需要输入密码;如果第一行不注释，则root使用su切换普通用户就不需要输入密码
如果开启第二行，表示只有root用户和wheel组内的用户才可以使用su命令
如果注释第一行，开启第二行，表示只有whee1组内的用户才能使用su命令，root用户也被禁用su命令
修改shell类型
pam_shells.so 只允许 规定的shell类型通过， 是在/etc/shells 文件中存在的 类型通过
创建一个/etc/nologin文件后，除了root用户其他都不允许登录
