CentOS系统中配置nologin伪用户禁止登录，核心是修改用户shell为/sbin/nologin或/bin/false，这是最直接有效的方法。当用户尝试登录时，系统会拒绝其访问shell，并通常显示一条提示信息。这在管理服务器、创建仅用于运行特定服务（如Apache、MySQL）的系统账户时至关重要，能极大增强系统安全性，防止未经授权的shell访问。
一、理解nologin伪用户：不仅仅是禁止登录
“nologin伪用户”并非一个虚构概念，它指代的是那些在系统上拥有账户，但其登录shell被设置为特殊值（如/sbin/nologin、/bin/false）的用户。这些账户通常用于运行后台守护进程（daemon），例如“apache”、“nginx”、“mysql”。它们需要拥有文件和进程的所有权以正常运行服务，但绝不应该被允许通过SSH、控制台或su命令获得一个交互式shell。这与直接删除用户或禁用密码有本质区别：服务仍能以该用户身份运行，但任何人无法以该用户身份登录系统，从根本上消除了一个高危攻击面。
二、两种核心方法：/sbin/nologin 与 /bin/false 的深度对比
实现禁止登录主要有两种shell设置，其行为有细微但重要的区别。
1. 使用 /sbin/nologin（推荐）
这是最常用且友好的方法。当用户尝试登录时，系统会显示一个提示信息（通常存储在/etc/nologin.txt中），然后立即断开连接。这提供了明确的拒绝反馈。设置命令如下：
sudo usermod -s /sbin/nologin username
例如，为系统用户“ftpuser”设置nologin：
sudo usermod -s /sbin/nologin ftpuser
之后，检查/etc/passwd文件中该用户行，你会发现末尾的shell部分已变更：
ftpuser:x:1001:1001::/home/ftpuser:/sbin/nologin
2. 使用 /bin/false
这是一种更为绝对的限制。当用户尝试登录时，/bin/false会立即以非零状态退出，不提供任何提示信息，直接导致登录会话失败。在某些对安全性要求极严的场景下，这可能更受青睐。设置方法类似：
sudo usermod -s /bin/false username
如何选择？对于内部管理明确的服务器，建议使用/sbin/nologin，因为其提示信息有助于审计和排查问题。若追求极简和绝对无输出，可选择/bin/false。
三、高级配置与自定义拒绝消息
使用/sbin/nologin时，你可以自定义用户尝试登录时看到的消息，这能用于告知合法管理员或警告潜在入侵者。
系统级的自定义消息可以通过编辑/etc/nologin.txt文件实现。创建或修改该文件：
sudo vi /etc/nologin.txt
在文件中输入你想显示的内容，例如：
* 警告 * 此系统账户仅用于服务运行。 禁止交互式登录。 请联系系统管理员。
此后，任何shell被设置为/sbin/nologin的用户尝试登录时，都会看到这段文字。需要注意的是，如果/etc/nologin.txt文件存在且内容为空，或者文件不存在，系统通常会显示一个默认的“This account is currently not available.”提示。
四、针对现有用户与新建用户的实操步骤
配置过程需区分是对现有用户操作，还是在创建用户时直接进行限制。
1. 修改现有用户的shell
使用"usermod"命令，如前文所示。操作完成后，务必立即验证：
sudo grep username /etc/passwd
确认shell字段已更改。同时，强烈建议使用以下命令测试该用户是否还能获得shell（这需要事先配置好sudo权限或使用root测试）：
sudo su - username # 或 sudo login username
你应该会立即被拒绝并看到相应提示。
2. 创建时即指定nologin shell的新用户
在创建服务账户时，一步到位是最佳实践。使用"useradd"命令并指定-s参数：
sudo useradd -r -s /sbin/nologin service_account
其中，"-r"参数表示创建一个系统用户（UID较小，通常不创建主目录），"-s"则直接指定shell。这样，该账户从诞生起就被禁止了交互式登录。
五、关键配置文件：/etc/passwd 与 /etc/shadow 的关联解析
所有用户配置的根源在于/etc/passwd文件。禁止登录的本质就是修改该文件中用户条目最后一个字段（冒号分隔）。与之密切相关的/etc/shadow文件存储密码和账户策略。即使shell设置为nologin，用户密码在/etc/shadow中的状态依然独立有效。这意味着，一个强密码或甚至被锁定的密码（密码字段为!!或*）与nologin shell是双重保险。最佳实践是结合使用：
sudo usermod -s /sbin/nologin username sudo passwd -l username # 锁定用户密码，在shadow文件中密码前添加!!
这实现了“即使shell被意外改回，账户也因密码锁定而无法登录”的纵深防御。
六、常见应用场景与安全最佳实践
1. Web/数据库服务账户：为nginx、apache、mysql等创建专属系统用户并设置nologin，是部署服务的标准步骤。
2. FTP/SFTP-only用户：对于仅需文件传输权限的用户，设置nologin可防止其获得shell，但需配合chroot等配置确保FTP服务正常运行。
3. 权限分离：使用sudo授权特定命令时，执行命令的代理账户本身应设置为nologin，减少其被直接利用的风险。
4. 审计与监控：定期检查/etc/passwd文件，确保所有非交互式用户的shell均为nologin或false。可以使用命令审计：
awk -F: '$7 !~ /(nologin|false)$/ {print $1}' /etc/passwd这条命令会列出所有shell不是nologin或false的用户，方便管理员复核。
七、排查与故障排除：当nologin不生效时
极少数情况下，设置可能未按预期工作，请按以下步骤排查：
1. 确认修改已保存：再次检查/etc/passwd文件，确认修改无误。注意不要误修改了其他字段。
2. 检查用户是否通过其他方式登录：例如，如果用户被配置为通过SSH密钥且强制命令（ForceCommand）登录，该设置会覆盖shell限制。检查/etc/ssh/sshd_config和用户的~/.ssh/authorized_keys文件。
3. 检查PAM配置：Pluggable Authentication Modules (PAM) 配置可能允许绕过标准shell检查。检查/etc/pam.d/sshd和/etc/pam.d/login等配置文件，但通常无需修改。
4. 确保未使用交互式选项：某些服务（如一些FTP服务器）可能有自己的“允许shell访问”选项，需在其独立配置文件中禁用。
八、与/etc/nologin文件功能的区别（重要澄清）
这里存在一个容易混淆的概念：系统中还存在一个名为"/etc/nologin"（注意，无.txt后缀）的文件。这个文件的功能完全不同！当/etc/nologin文件存在时，它会阻止系统中除root以外的所有用户登录，无论其个人shell设置如何。该文件内容会作为登录提示显示。这通常用于系统维护或紧急情况下的全局登录封锁。例如，在计划维护前创建该文件：
sudo sh -c 'echo "系统正在进行紧急维护，预计30分钟后恢复。" > /etc/nologin'
维护结束后，必须删除此文件以恢复登录：
sudo rm /etc/nologin
务必区分 "/sbin/nologin"（用户的shell）、"/etc/nologin.txt"（自定义提示）和 "/etc/nologin"（全局登录锁）这三者。
总结来说，在CentOS中配置nologin伪用户是系统安全加固的基础且关键的一环。它通过修改用户shell这一简单动作，实现了服务账户权限与交互式访问的强制分离。结合密码锁定、定期审计以及理解与全局登录锁文件的区别，可以构建起一道稳固的访问控制防线，有效守护你的服务器免受通过服务账户发起的横向渗透攻击。
