银河麒麟系统如何安全登录root用户？

Question

在银河麒麟操作系统中，如何安全地以root用户登录是系统管理中的常见难题。直接启用root账户远程登录存在极大安全风险，易被暴力破解或恶意利用。许多用户在配置SSH服务时，习惯性开启PermitRootLogin yes，导致系统暴露于网络攻击之下。那么，如何在保障运维便利的同时，实现root权限的安全访问？是否应优先采用sudo提权结合密钥认证的方式？如何合理配置PAM模块与SELinux策略以增强身份验证安全性？这些都是实际部署中亟需解决的关键问题。

Answer 1

在银河麒麟操作系统中实现安全的root权限访问策略

1. 问题背景与风险分析

银河麒麟操作系统作为国产化信创生态中的核心发行版，广泛应用于政府、金融、能源等关键领域。在系统运维过程中，管理员常面临“如何以root身份执行高权限操作”的需求。然而，直接启用SSH远程root登录（即PermitRootLogin yes）会显著增加系统暴露面。

攻击者可通过暴力破解、字典攻击或利用弱密码机制获取root权限，进而完全控制主机。据CVE统计，超过60%的Linux服务器入侵事件与不当的SSH配置相关。

2. 安全登录原则：最小权限与分层认证

• 禁止直接使用root进行远程SSH登录
• 采用普通用户+sudo提权机制完成管理任务
• 强制使用SSH密钥认证替代密码认证
• 结合PAM模块实现多因素验证（MFA）扩展
• 启用SELinux强制访问控制策略限制越权行为

3. SSH服务安全配置实践

编辑SSH主配置文件以禁用root远程登录：

sudo vi /etc/ssh/sshd_config

# 修改以下参数
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
ChallengeResponseAuthentication no
UsePAM yes

重启SSH服务使配置生效：

sudo systemctl restart sshd

4. 基于sudo的权限提升机制设计

推荐创建专用运维账户并赋予有限sudo权限：

用户名	所属组	sudo权限范围	认证方式
admin_user	wheel	/usr/bin/systemctl, /sbin/reboot	SSH密钥 + 一次性密码
sec_ops	sudo	日志审计与监控命令	智能卡认证

5. PAM模块增强身份验证安全性

通过PAM（Pluggable Authentication Modules）可实现灵活的身份验证流程控制。例如，在/etc/pam.d/sshd中添加：

# 启用失败尝试锁定
auth required pam_tally2.so deny=3 unlock_time=600
account required pam_tally2.so

# 集成Google Authenticator（可选）
auth required pam_google_authenticator.so nullok

该配置可在三次失败后锁定账户10分钟，并支持TOTP动态口令二次验证。

6. SELinux策略强化访问控制

银河麒麟默认启用SELinux，应确保其处于enforcing模式：

getenforce  # 输出应为 Enforcing
sestatus | grep "Current mode"

可通过自定义策略模块限制特定服务对敏感资源的访问：

# 示例：限制sshd仅能读取用户家目录中的.ssh文件
audit2allow -a -l | grep sshd
semanage fcontext -a -t ssh_home_t "/home/[^/]*/\.extra_dir(/.*)?"
restorecon -Rv /home/

7. 可视化流程：安全登录认证链路

graph TD
    A[用户发起SSH连接] --> B{是否使用密钥?}
    B -- 否 --> C[拒绝连接]
    B -- 是 --> D[公钥匹配成功?]
    D -- 否 --> C
    D -- 是 --> E[PAM模块介入验证]
    E --> F[检查pam_tally2失败计数]
    F --> G{是否超过阈值?}
    G -- 是 --> H[临时锁定账户]
    G -- 否 --> I[调用selinux上下文校验]
    I --> J[启动shell会话]
    J --> K[用户执行sudo命令]
    K --> L{sudoers规则匹配?}
    L -- 否 --> M[记录审计日志并拒绝]
    L -- 是 --> N[临时获得root权限]
    

8. 日志审计与实时监控建议

启用auditd服务追踪关键操作：

# 监控sudo使用情况
auditctl -w /usr/bin/sudo -p x -k privileged_cmd

# 查看登录尝试记录
aureport --login --start recent
ausearch -m USER_LOGIN -ts today

结合集中式日志平台（如ELK或SOC系统）实现异常行为告警。

9. 自动化加固脚本模板

以下为一键式安全基线配置片段：

#!/bin/bash
# galaxy-kylin secure baseline script

set -e

# 禁止root远程登录
sed -i 's/^PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config
sed -i 's/^PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config

# 开启sudo日志
echo "Defaults logfile=/var/log/sudo.log" >> /etc/sudoers

# 设置umask
echo "session optional pam_umask.so umask=027" >> /etc/pam.d/common-session

# 重载服务
systemctl reload sshd

10. 多层次防御体系构建思路

真正的安全不仅依赖单一技术点，而需构建纵深防御体系：

1. 网络层：防火墙限制SSH端口访问源IP
2. 传输层：使用非标准端口+Fail2ban自动封禁恶意IP
3. 应用层：SSH密钥+双因素认证
4. 系统层：sudo权限精细化管控
5. 内核层：SELinux强制策略拦截越权操作
6. 审计层：完整操作日志留存与分析
7. 响应层：集成SIEM实现自动化威胁响应
8. 人员层：运维人员安全意识培训与职责分离
9. 合规层：遵循等级保护2.0第三级要求
10. 更新层：定期打补丁与配置漂移检测