为什么需要禁用root登录？
在云服务器管理中，root账户拥有最高权限，但也因此成为黑客攻击的主要目标。据统计，超过60%的服务器入侵事件都是通过暴力破解root密码实现的。禁用root直接登录可以：
- 显著降低暴力破解风险
- 强制使用更安全的sudo权限管理
- 便于审计操作记录
- 符合大多数云安全最佳实践
方法一：通过SSH配置禁用root登录（推荐）
这是最常用且推荐的方法，操作步骤如下：
- 使用普通用户登录服务器
- 编辑SSH配置文件：
sudo nano /etc/ssh/sshd_config - 找到并修改以下参数：
PermitRootLogin no - 保存后重启SSH服务：
sudo systemctl restart sshd
注意：修改前请确保已创建具有sudo权限的普通用户，否则可能导致无法登录服务器。
方法二：使用PAM模块限制root登录
对于需要更严格控制的场景，可以使用PAM模块：
- 编辑PAM配置文件：
sudo nano /etc/pam.d/sshd - 添加以下内容：
auth required pam_listfile.so item=user sense=deny file=/etc/ssh/deniedusers onerr=succeed - 创建禁止用户列表文件：
echo "root" | sudo tee /etc/ssh/deniedusers
重要提示
禁用root登录前，必须确保：
- 已创建至少一个具有sudo权限的普通用户
- 测试新用户可以正常登录并执行管理操作
- 在修改配置后保持当前root会话不退出，直到确认新用户可以登录
方法三：使用云平台安全组策略（额外防护）
各大云平台都提供安全组功能，可以额外设置：
| 云平台 | 配置方法 |
|---|---|
| 阿里云 | 安全组规则中拒绝源IP为0.0.0.0/0的22端口root登录 |
| AWS | 在安全组中设置只允许特定IP访问22端口 |
| 腾讯云 | 使用CAM策略限制root账户登录 |
验证配置是否生效
执行以下命令测试：
ssh root@服务器IP应该看到"Permission denied"错误，而普通用户可以正常登录。
常见问题解决方案
- Q：禁用root后忘记sudo密码怎么办？
- A：需要通过云平台提供的VNC控制台重置密码
- Q：如何临时恢复root登录？
- A：通过其他具有sudo权限的用户修改sshd_config文件，或使用单用户模式
- Q：企业多服务器如何批量配置？
- A：建议使用Ansible等配置管理工具批量部署
总结
禁用root登录是服务器基础安全加固的重要一步。推荐采用"SSH配置+PAM模块+安全组"的多层防护策略。同时建议启用SSH密钥认证、配置fail2ban等额外安全措施，全面保护服务器安全。