UNIX/Linux:Cómo bloquear o deshabilitar una cuenta de usuario

Hay varias formas de bloquear o deshabilitar la cuenta de usuario. Las publicaciones analizan algunas de las formas más utilizadas.

1. Bloquear la contraseña

Para bloquear la cuenta de un usuario, use el comando usermod -L o contraseña -l . Ambos comandos agregan un signo de exclamación (“!”) en el segundo campo del archivo /etc/passwd . Por ejemplo:

# usermod -L testuser

o

# passwd -l testuser

2. Expirar la cuenta de usuario

Los comandos contraseña -l y modo de usuario -L son ineficientes cuando se trata de deshabilitar/bloquear cuentas de usuario. Estos comandos no deshabilitarán la autenticación mediante claves públicas SSH (u otros módulos PAM que no sean pam_unix que puedan estar habilitados). Además, cambiar el shell a /bin/false o /sbin/nologin no es satisfactorio para nosotros, ya que esto solo afecta los inicios de sesión interactivos. Entonces, para deshabilitar completamente las cuentas de usuario, puede usar el comando chage -E0 . Por ejemplo:

# chage -E0 testuser

Expiración de una cuenta mediante el uso del 8th campo en /etc/shadow (usando "cambiar -E") bloqueará todos los métodos de acceso que usan PAM para autenticar a un usuario.

3. Cambiando el caparazón

También podemos cambiar el shell predeterminado del usuario a /sbin/nologin para que el usuario no obtenga ningún shell de inicio de sesión cuando intente iniciar sesión en el sistema.

# usermod -s /sbin/nologin [username]

Puede verificar el séptimo y último campo en /etc/passwd para el cambio de shell a /sbin/nologin.

Verifique si la cuenta está bloqueada o deshabilitada.

Para cada uno de los métodos descritos anteriormente, puede verificar si la cuenta de usuario está bloqueada/deshabilitada usando los métodos a continuación.

1. Compruebe si la cuenta de usuario está bloqueada.
Buscar la bandera *LK* en el siguiente comando de salida que indica que la cuenta está bloqueada.

# passwd --status root
root *LK* 2017-07-19 0 45 7 -1 (Password set, SHA512 crypt.)

2. Compruebe si la cuenta tiene fecha de caducidad.
Verifique las líneas La contraseña caduca y La cuenta caduca para comprobar si la contraseña de la cuenta ha caducado.

# chage -l root
Last password change                                    : Jul 19, 2017
Password expires                                        : Sep 02, 2017
Password inactive                                       : never
Account expires                                         : Sep 02, 2017
Minimum number of days between password change          : 0
Maximum number of days between password change          : 45
Number of days of warning before password expires       : 7

3. Buscar shell no interactivo
Compruebe si el shell del usuario se ha cambiado a un shell no interactivo como /sbin/nologin .

# grep ^root /etc/passwd
root:x:0:0:root:/root:/sbin/nologin