锁定账户通过passwd或usermod命令实现，本质是使密码失效但保留账户；passwd -l在/etc/shadow密码前加!或*，-u解锁；usermod -L锁定，-U解锁；锁定仅禁用密码登录，密钥登录仍可能有效；确认锁定可查/etc/shadow或尝试登录；完全禁用需改shell为/sbin/nologin或删除账户；临时停用选锁定，永久移除选禁用。
Linux中锁定和解锁用户账户，本质上是为了控制用户是否能够登录系统。锁定账户可以防止恶意登录或者在用户离职后暂时停用账户，而解锁则恢复账户的正常使用。
锁定和解锁用户账户，主要通过
passwd命令和
usermod命令来实现。
解决方案
-
使用
passwd
命令锁定用户账户:passwd -l 用户名
这个命令实际上是使指定用户的密码失效，从而阻止用户通过密码登录。用户仍然存在，但无法使用密码进行身份验证。背后原理是会在
/etc/shadow
文件中，用户密码字段前添加!
或*
，使其密码失效。例如：sudo passwd -l testuser
运行后，
testuser
就无法使用密码登录了。注意，用户仍然可以使用密钥登录（如果配置了密钥）。 -
使用
passwd
命令解锁用户账户:passwd -u 用户名
该命令撤销锁定操作，恢复用户使用密码登录的能力。实际上，它会从
/etc/shadow
文件中移除密码字段前的!
或*
。例如：sudo passwd -u testuser
现在
testuser
就可以使用密码登录了。 -
使用
usermod
命令锁定用户账户:usermod -L 用户名
这个命令也会锁定用户账户，阻止用户登录。
-L
选项表示锁定 (lock) 用户账户。与passwd -l
类似，它也会修改/etc/shadow
文件。sudo usermod -L testuser
-
使用
usermod
命令解锁用户账户:usermod -U 用户名
-U
选项表示解锁 (unlock) 用户账户。sudo usermod -U testuser
如何确认用户账户是否被锁定？
查看
/etc/shadow文件是最直接的方式。例如，使用
grep命令：
grep testuser /etc/shadow
如果输出的密码字段以
!或
*开头，则表示该用户账户已被锁定。
另一种方式是尝试使用该用户账户登录。如果账户被锁定，系统会拒绝登录，并显示相应的错误信息。
锁定账户后，用户还可以通过其他方式登录吗？
是的。即使使用
passwd -l或
usermod -L锁定了账户，如果用户配置了 SSH 密钥登录，仍然可以通过密钥登录。锁定操作主要针对密码登录方式。要完全阻止用户登录，还需要禁用用户的 SSH 密钥。
锁定账户和禁用账户有什么区别？
锁定账户只是阻止用户使用密码登录，用户账户仍然存在于系统中。而禁用账户通常意味着删除用户账户，或者修改用户账户的 shell 为
/sbin/nologin，使其无法登录。删除账户会移除用户的家目录和所有相关数据，而修改 shell 则保留用户数据，但阻止用户登录。
什么时候应该锁定账户，什么时候应该禁用账户？
锁定账户通常用于临时停用账户，例如用户离职后，暂时阻止其访问系统，但保留其数据。禁用账户则用于永久移除用户，例如用户彻底离职，并且不再需要保留其数据。选择哪种方式取决于具体的需求和安全策略。
