本文详细讲解了Debian服务器安全加固与权限管理的实战技巧，重点介绍了如何通过限制指令执行权限来禁止用户修改密码，通过精细化的权限控制，可以有效防止未授权操作，显著提升系统的安全防护能力。
在服务器运维管理中，出于安全审计、防止误操作或特定工作流的考虑，管理员有时需要限制服务器上用户修改密码的能力，对于使用 Debian 系统的服务器来说,掌握如何禁止改密码指令是一项重要的权限管理技能。
本文将详细介绍 Debian 怎么禁止服务器改密码指令 的几种方法，从彻底移除命令到配置权限限制,帮助您实现更严格的安全控制。
彻底禁用 passwd 命令（移动重命名法）
最直接的方法是让系统找不到 passwd 这个指令，虽然 Debian 默认没有设置密码的服务器很多，但为了保险起见,我们可以将指令文件重命名。
-
备份原文件（重要）： 在进行任何修改前，建议先备份
/usr/bin/passwd文件,以防后续需要恢复。sudo mv /usr/bin/passwd /usr/bin/passwd.bak
-
验证禁用效果： 重命名后，普通用户尝试输入
passwd时会提示“command not found”。passwd # 输出：bash: /usr/bin/passwd: No such file or directory
注意： 此方法虽然简单有效，但 root 用户理论上仍可以通过绝对路径调用 /usr/bin/passwd.bak 来修改密码,这种方法主要用于限制普通用户的操作。
修改文件权限（chmod 方法）
另一种方法是修改 /usr/bin/passwd 的权限，使其不可执行，但需要注意的是，root 用户通常拥有修改权限的特权。
-
移除执行权限：
sudo chmod 000 /usr/bin/passwd
-
验证： 此时普通用户无法执行该文件，为了防止 root 用户被误锁（root 自身也无法修改密码），通常不建议使用
000权限，而是使用600或700并配合其他限制手段。
使用 PAM 模块限制（软件级限制）
如果您只是想禁止用户自行修改密码，但希望保留命令的可用性，可以通过配置 PAM（Pluggable Authentication Modules）来实现。
编辑 PAM 配置文件 /etc/pam.d/common-password，找到 password 相关的行并进行修改。
-
在配置文件中添加拒绝规则： 在
/etc/pam.d/common-password文件的最上方添加一行：password required pam_deny.so
这行配置的意思是：对于所有的密码修改请求,直接返回拒绝。
-
效果： 即使用户运行
passwd，系统也会提示“Authentication token manipulation error”或“Authentication failure”,从而阻止密码修改。
禁止用户使用 sudo 修改密码
很多时候，用户会通过 sudo passwd 来提升权限修改密码，通过修改 sudoers 配置，可以禁止特定用户或所有用户使用 passwd。
-
编辑 sudoers 文件：
sudo visudo
-
添加限制规则： 在文件中添加以下内容，禁止所有用户使用 passwd 命令：
Cmnd_Alias PASSWD_CMDS = /usr/bin/passwd, /usr/bin/passwd * ALL ALL = !PASSWD_CMDS
这段代码的意思是：定义一个包含 passwd 命令的别名，然后告诉所有用户（ALL）不要执行这个别名。
安全警告与恢复建议
在执行上述操作时,请务必注意以下几点：
- 保持 SSH 密钥安全： 禁止改密码指令后，您必须确保所有用户都配置了 SSH 公钥登录，否则一旦您锁定了 root 密码或无法修改密码,将面临被锁在服务器外面的风险。
- 定期备份： 修改系统关键二进制文件或配置文件前，请务必使用
cp或tar进行备份。 - 恢复方法： 如果您之前使用了“移动重命名法”并后悔了，只需将文件名改回即可：
sudo mv /usr/bin/passwd.bak /usr/bin/passwd
Debian 怎么禁止服务器改密码指令 取决于您的具体需求，如果您追求彻底的物理隔离，可以选择重命名文件；如果您希望保留灵活性，PAM 配置或 sudoers 限制则是更好的选择。