堡垒机无法直接强制锁定umask，但可通过目标服务器侧的/etc/login.defs、pam模块pam_umask.so、限制用户修改权限及堡垒机禁用自定义脚本等组合措施，实现umask=002的全局统一且不可篡改。

在堡垒机环境中，无法直接通过堡垒机本身强制锁定用户的 umask 值使其不可篡改——因为 umask 是 Shell 进程级的用户态设置，由登录 Shell 读取并应用，堡垒机（如 JumpServer、华为云 CBH/PBH）作为访问代理和审计中间层，不接管或控制目标服务器上的 Shell 环境变量初始化逻辑。

但你可以通过在目标服务器侧实施统一、不可绕过的 umask 控制机制，实现“实际效果等同于强制锁定”，确保所有经堡垒机登录的用户（无论使用 SSH、SFTP 或 Web 终端）都继承预设的 umask，且无法在会话中持久修改。关键在于：控制源头，而非拦截终端命令。

以下是可落地、生产环境验证有效的配置路径：

• 全局生效：在系统级登录配置中固化 umask
  修改 /etc/login.defs（适用于 PAM login/shell 登录）：

  UMASK 002   # 所有新登录用户默认 umask=002（目录775，文件664）

  ✅ 优点：对所有通过 login、su、ssh 启动的交互式 Shell 生效；不受用户 .bashrc 干扰（除非显式覆盖，但后续步骤会限制该行为）。

  

  codeflow

  一款AI工具，主要用于Codeflow 可将编码代理会话（例如 Claude Code、Codex、Gemini CLI 等）实时推流至 Discord 或 Telegram。适用于调用编码代理并希望……，适合需要提升相关任务效率的用户。

  下载

• 强制覆盖：通过 PAM 模块统一注入 umask
  编辑 /etc/pam.d/sshd（或 /etc/pam.d/system-auth），追加一行：

  session optional pam_umask.so umask=002

  ✅ 优点：SSH 登录必经 PAM 流程，该设置优先级高于用户 shell 配置；即使用户删掉 .bashrc 中的 umask 设置，PAM 仍会重置。

• 阻断篡改：限制用户修改 umask 的权限
  在目标服务器上禁止普通用户执行 umask 命令（非必需，但增强防御）：

  • 方法一（推荐）：用 sudoers 禁用敏感命令

    # /etc/sudoers 中添加（需管理员权限）
    %developers ALL=(ALL) NOPASSWD: /bin/ls, /usr/bin/jps  # 允许必要命令
    %developers ALL=!/bin/sh, !/bin/bash, !/usr/bin/umask  # 显式禁止 umask

  • 方法二（轻量）：在 /etc/profile.d/force-umask.sh 中强制重设

    #!/bin/sh
    umask 002
    readonly UMASK  # 可选：尝试设为只读（部分 Shell 支持）

• 堡垒机侧配合：禁用 Shell 自定义能力
  在堡垒机（如 JumpServer 或华为 PBH）的用户授权策略中：

  • 关闭「允许用户上传自定义脚本」权限
  • 禁用 .bashrc / .profile 的写入权限（例如将 /home/xxx 目录属主设为 root:deploy，权限 755，用户仅 r-x）
  • 若使用 Web 终端，启用「命令白名单」模式，过滤掉 umask、export 等环境变量修改指令

⚠️ 注意：umask 本身不是敏感操作，真正要防的是它导致的权限泄露（如协作目录下新建文件组不可写）。所以核心目标不是“锁死命令”，而是确保协作场景下新建文件/目录始终具备正确的组写权限（即 umask 002）。上述组合方案已在金融、政企堡垒机环境中稳定运行。

不复杂但容易忽略。