仅允许特定用户与本地会话交互

仅允许特定用户与本地会话交互

我有一台 Centos7 机器,已加入 Active Directory 域。问题是,如果我登录到 Centos7 服务器,我可以在会话中与 Active Directory 域中的任何用户名进行交互。

我可以拒绝通过 ssh 的访问,除非用户位于特定组中,但我无法实现用户执行的操作

su - different_user

different_user活动目录中的任何用户在哪里。

我认为这可能可以使用pam模块来实现,但不知道使用哪一个。我已经尝试过,pam_required.so这使得所有用户都无法su使用不同的用户帐户。即使是那些应该有权访问的人。

答案1

如果您只想允许某些用户作为su命令的目标,您可以将以下内容放入/etc/pam.d/su

auth requisite pam_listfile.so onerr=fail item=user sense=allow file=/etc/su-users
auth required pam_unix.so

现在,如果您创建一个每行一个用户的文件/etc/su-users,则只能su“编辑”该文件中列出的用户。

相关内容