为什么需要禁用root登录？

root账户拥有系统最高权限，据统计，超过60%的服务器攻击都是针对root账户进行的。禁用直接root登录可以：

• 防止暴力破解攻击
• 降低误操作风险
• 满足安全合规要求
• 便于权限审计追踪

方法一：通过SSH配置文件禁用

这是最常用的方法，操作步骤如下：

1. 使用普通用户登录服务器
2. 编辑SSH配置文件：sudo vi /etc/ssh/sshd_config
3. 找到PermitRootLogin参数，修改为：PermitRootLogin no
4. 重启SSH服务：sudo systemctl restart sshd

优点：配置简单，立即生效
缺点：需要确保有其他可用账户

方法二：使用PAM模块限制

通过PAM(Pluggable Authentication Modules)实现更灵活的控制：

1. 编辑PAM配置文件：sudo vi /etc/pam.d/sshd
2. 添加以下内容：
auth required pam_listfile.so item=user sense=deny file=/etc/ssh/deniedusers onerr=succeed
3. 创建拒绝列表：sudo echo "root" > /etc/ssh/deniedusers

优点：可以灵活管理多个受限账户
缺点：配置相对复杂

方法三：设置SSH密钥认证

完全禁用密码登录，强制使用密钥认证：

1. 生成SSH密钥对：ssh-keygen -t rsa
2. 将公钥上传到服务器：ssh-copy-id user@server
3. 修改SSH配置：
PasswordAuthentication no
PermitRootLogin prohibit-password
4. 重启SSH服务

优点：安全性最高
缺点：密钥管理需要额外注意

方法四：使用sudo替代root

创建具有sudo权限的管理员账户替代root：

1. 创建新用户：adduser adminuser
2. 授予sudo权限：usermod -aG sudo adminuser
3. 测试sudo权限：sudo -l
4. 确认无误后禁用root

优点：操作审计更清晰
缺点：需要重新习惯工作方式