24、FreeBSD 系统安全配置与管理指南

FreeBSD 系统安全配置与管理指南

远程登录权限设置

在提供客户端服务时，普通用户若没有 shell 账户则不允许登录服务器。系统管理员可以远程登录，DNS 和 Web 团队（dns 和 webmasters 组的成员）也可以。不过，只有系统管理员能够登录控制台。可以在 login.access 中进行如下设置：

-:ALL EXCEPT wheel:console
-:ALL EXCEPT wheel dns webmasters:ALL

只需设置一次，之后便可通过组权限来控制所有的远程登录。

登录类限制系统使用

可以通过登录类来进行更具体的控制。登录类通过 /etc/login.conf 进行管理，它为用户定义了资源和信息。每个用户被分配一个类，每个类对可用的系统资源都有限制。当更改某个类的限制时，所有该类的用户下次登录时将应用新的限制。可以在创建用户账户时设置用户的类，也可以使用 chpass(1) 之后再更改。

类定义

默认的 /etc/login.conf 以默认类开始，没有指定其他类的账户将使用该类。这个类基本上为用户提供了对系统资源的无限制访问，适用于用户数量有限的应用服务器。如果这符合你的需求，就无需对该文件进行任何调整。

每个类定义由一系列变量赋值组成，这些赋值定义了用户的资源限制、账户信息和环境。类定义中的每个变量赋值以冒号开始和结束。反斜杠字符是续行符，表示该类定义延续到下一行，这样可以使文件更易读