SSH限制root直接登录后，使用普通用户登录再切换到root时提示“Permission denied”，如何解决？

Question

**SSH限制root登录后切换root失败问题** 在Linux系统中，若通过SSH限制了root用户直接登录，使用普通用户登录后再尝试用`su`或`sudo`切换到root时，出现“Permission denied”错误，可能是以下原因导致：1) /etc/sudoers文件配置错误；2) 普通用户未加入sudo组；3) 系统安全策略限制。 解决方法： 1. 确保普通用户在sudoers列表中，编辑/etc/sudoers文件（建议使用visudo命令），添加类似“username ALL=(ALL) ALL”的规则。 2. 检查普通用户是否属于sudo组，若未加入可执行`usermod -aG sudo username`命令。 3. 确认PAM模块或SELinux策略未阻止权限提升。 例如：通过visudo添加规则后，使用普通用户执行`sudo -i`即可顺利切换至root用户。

Answer 1

1. 问题概述

在Linux系统中，管理员通常会通过SSH限制root用户直接登录，以提高系统的安全性。然而，在这种配置下，使用普通用户登录后再尝试用`su`或`sudo`切换到root时，可能会遇到“Permission denied”错误。

导致该问题的常见原因包括：

• /etc/sudoers文件配置错误
• 普通用户未加入sudo组
• 系统安全策略（如PAM模块或SELinux）限制权限提升

接下来我们将从多个角度深入分析并解决这一问题。

2. 原因分析与排查步骤

以下是逐步排查和解决问题的详细过程：

1. 检查/etc/sudoers文件配置

2. 确保普通用户在sudoers列表中，可以通过编辑/etc/sudoers文件实现。建议使用visudo命令进行编辑，避免语法错误导致系统无法正常运行。

   visudo

   添加类似以下规则：

   username ALL=(ALL) ALL
3. 验证普通用户是否属于sudo组

4. 如果普通用户未加入sudo组，可以使用以下命令将其添加：

   usermod -aG sudo username

   然后重新登录以使更改生效。

5. 确认PAM模块或SELinux策略

6. PAM模块或SELinux策略可能阻止了权限提升。需要检查相关配置文件，例如/etc/pam.d/su和/etc/selinux/config。

3. 解决方案详解

以下是针对上述问题的具体解决方案：

问题	解决方案
/etc/sudoers文件配置错误	使用visudo命令编辑sudoers文件，确保普通用户有正确的权限规则。
普通用户未加入sudo组	执行`usermod -aG sudo username`命令将用户添加到sudo组。
系统安全策略限制	检查PAM模块配置文件和SELinux策略，调整相关设置以允许权限提升。

4. 实际操作示例

以下是一个完整的实际操作示例：

# 编辑sudoers文件
visudo

# 添加以下规则
username ALL=(ALL) ALL

# 检查用户是否属于sudo组
groups username

# 如果未加入sudo组，执行以下命令
usermod -aG sudo username

# 使用普通用户切换至root
sudo -i

通过以上步骤，普通用户应能成功切换到root用户。

5. 流程图说明

以下是解决该问题的流程图：