如何在Linux中配置具体的用户SSH权限控制-LINUX-PHP中文网

allowusers和denyusers优先级为denyusers＞allowusers，前者为黑名单、后者为白名单；allowusers支持username@ip/cidr/hostname，denyusers仅支持精确用户名，二者共存时同名用户必被拒绝。

如何在linux中配置具体的用户ssh权限控制

AllowUsers 和 DenyUsers 的实际写法与优先级陷阱

直接在 /etc/ssh/sshd_config 里写 AllowUsers 或 DenyUsers 是最常用的做法，但容易因格式或逻辑冲突锁死自己。

AllowUsers 支持用户名、用户名@IP、用户名@hostname 三种形式，多个条目用空格分隔，例如：AllowUsers alice bob@192.168.1.0/24
DenyUsers 不支持 CIDR 或通配符，只认精确用户名，例如：DenyUsers guest test
规则优先级是：DenyUsers > AllowUsers > DenyGroups > AllowGroups。如果一个用户同时出现在 DenyUsers 和 AllowUsers 中，他一定被拒绝——哪怕你本意是“白名单为主”
不要同时启用 AllowUsers 和 DenyUsers，尤其在生产环境；白名单机制更安全，也更易审计

Match 块必须放在配置文件末尾且用空行分隔

Match 是实现条件化权限控制的唯一原生方式，比如“只允许运维组从内网登录”或“某用户只能 SFTP 不能 shell”，但它对位置和格式极其敏感。

Match 块必须写在 sshd_config 文件末尾，所有全局配置之后；否则会被忽略
每个 Match 段之间必须用空行分隔，否则后续规则不生效
常见写法示例：Match User deploy 后接 PasswordAuthentication no，表示该用户禁用密码登录；Match Group sftp-only 后接 ForceCommand internal-sftp 实现纯 SFTP 隔离
Match 不支持正则或模糊匹配，只支持 User、Group、Host、Address 四种条件，且 Address 只能用于客户端 IP（不是服务器监听地址）

修改后必须先验证再 reload，别直接 restart

写错一行配置就可能导致 SSH 连接中断，尤其是用 AllowUsers 锁住自己时，没有 console 访问权限就只能重装系统。

linux-sysadmin

Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...

下载

每次改完 sshd_config，先运行 sshd -t 检查语法是否正确；返回 Configuration file /etc/ssh/sshd_config: good 才算过关
用 systemctl reload sshd 替代 restart，前者只重载配置、不中断现有连接，适合远程操作
永远保留一个本地终端或带串口/IPMI 的备用通道；测试新规则时，新开一个会话验证是否仍能连上，确认无误再关旧会话
权限相关配置（如 PubkeyAuthentication yes）依赖用户家目录下 ~/.ssh/authorized_keys 存在且权限为 600，目录权限为 700，否则密钥认证会静默失败

PAM 的 access.conf 规则比 sshd_config 更灵活但更难调试

当需要“只允许 admin 组从 10.0.0.0/24 登录，其余一律拒绝”这类组合条件时，sshd_config 办不到，必须靠 PAM + /etc/security/access.conf。

先确认 /etc/pam.d/sshd 中有这行：account required pam_access.so，且位置在 pam_unix.so 之后
/etc/security/access.conf 按从上到下顺序匹配，命中即停；典型写法是先放具体允许规则，最后用 - : ALL : ALL 默认拒绝
IP 段写法必须是 CIDR 格式，例如 + : admin : 10.0.0.0/24；不能写 10.0.0.*，通配符不被识别
调试时可临时加 loglevel=debug 到 PAM 行，然后看 /var/log/secure 里的 pam_access 日志，否则失败原因完全不可见