VPS多用户管理教程2026：SSH密钥配置与权限分配

前言

当一台VPS需要多人协作时，多用户管理就成了刚需。团队成员需要各自独立的登录凭证，开发环境和生产环境需要权限隔离，外包人员需要限制性访问……这些场景都离不开完善的多用户权限体系。本教程将系统讲解2026年Linux VPS上多用户创建、SSH密钥配置、权限精细化管理及安全审计的全流程，帮助站长和运维团队构建既高效又安全的多人协作环境。

一、用户账户体系基础

1.1 Linux用户类型

Linux系统中的用户分为三种类型：

用户类型	UID范围	说明	示例
root用户	0	超级管理员，拥有最高权限	root
系统用户	1-999	用于运行系统服务，不能登录	www-data、mysql、nginx
普通用户	1000+	供真实用户使用，权限受限	developer、operator

1.2 关键用户相关文件

文件路径	作用	权限
/etc/passwd	用户基本信息	全局可读
/etc/shadow	加密密码（仅root可读）	root可读
/etc/group	用户组信息	全局可读
/etc/sudoers	sudo权限配置	仅root编辑

二、用户创建与基础配置

2.1 创建新用户

# 创建新用户（以developer为例）
useradd -m -s /bin/bash -c "Developer Account" developer

# 参数说明：
# -m: 创建用户主目录（/home/developer）
# -s: 指定登录shell
# -c: 用户备注信息

# 设置用户密码
passwd developer

# 将用户加入sudo组（Ubuntu/Debian）
usermod -aG sudo developer

# 将用户加入wheel组（CentOS/Alibaba Cloud Linux）
usermod -aG wheel developer

# 验证用户信息
id developer
groups developer

2.2 创建系统用户（服务账户）

# 为Web服务创建不可登录的系统用户
useradd -r -s /usr/sbin/nologin -d /var/www -M webapp

# 参数说明：
# -r: 创建系统用户
# -s /usr/sbin/nologin: 禁止登录
# -d: 指定家目录
# -M: 不创建家目录

# 设置目录权限
mkdir -p /var/www/html
chown -R webapp:webapp /var/www/html
chmod -R 755 /var/www/html

2.3 用户组管理

# 创建用户组
groupadd developers
groupadd operations

# 将用户加入多个组
usermod -aG developers,operations alice

# 查看用户所属的所有组
groups alice

# 设置文件属组
chgrp developers /var/www/html
chmod 2775 /var/www/html    # SGID确保新建文件继承组

三、SSH密钥配置详解

3.1 本地生成SSH密钥对

# 在本地机器（Windows PowerShell / macOS / Linux）执行
ssh-keygen -t ed25519 -C "your_email@example.com" -f ~/.ssh/vps_developer

# 参数说明：
# -t ed25519: 使用更安全、更高效的Ed25519算法（推荐）
# -t rsa -b 4096: RSA算法（兼容性更好）
# -C: 添加注释，便于识别密钥用途
# -f: 指定密钥文件名

# 查看生成的公钥
cat ~/.ssh/vps_developer.pub

不同算法的安全性对比：

算法	密钥长度	安全性	兼容性	推荐场景
Ed25519	256位	最高	现代系统	推荐优先使用
RSA	4096位	高	最广	兼容性要求高的场景
ECDSA	256/384/521位	高	现代系统	平衡选择
DSA	1024位	已弃用	—	勿使用

3.2 将公钥上传到VPS

方法一：ssh-copy-id（推荐）

# 一键上传公钥（需要密码认证）
ssh-copy-id -i ~/.ssh/vps_developer.pub developer@YOUR_VPS_IP -p 22022

方法二：手动复制公钥

# 在VPS上操作（以developer用户身份）
mkdir -p ~/.ssh
chmod 700 ~/.ssh

# 将本地公钥追加到服务器authorized_keys
cat ~/.ssh/vps_developer.pub | ssh -p 22022 developer@YOUR_VPS_IP "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

# VPS端验证
cat ~/.ssh/authorized_keys

方法三：authorized_keys配置详解

# 编辑authorized_keys，为密钥添加限制
vim ~/.ssh/authorized_keys

# 添加限制前缀的完整示例：
from="192.168.1.0/24",command="/opt/restrict_shell.sh" ssh-ed25519 AAAAC3... your_email@example.com

# 常用限制选项：
# from="IP/段": 仅允许特定IP登录
# command="脚本": 强制执行指定命令（用于受限Shell）
# no-pty: 禁止分配伪终端
# no-X11-forwarding: 禁止X11转发
# no-agent-forwarding: 禁止SSH agent转发
# permitopen="host:port": 限制端口转发目标

3.3 本地SSH客户端配置

# 编辑本地SSH配置文件
# Windows: C:\Users\用户名\.ssh\config
# Linux/macOS: ~/.ssh/config

vim ~/.ssh/config

# 添加VPS主机配置
Host shenma98-dev
    HostName YOUR_VPS_IP
    Port 22022
    User developer
    IdentityFile ~/.ssh/vps_developer
    ForwardAgent yes              # 转发SSH agent（方便访问git）
    AddKeysToAgent yes            # 自动加载密钥到agent
    IdentityAgent SSH_AUTH_SOCK   # 指定agent socket

Host shenma98-prod
    HostName YOUR_VPS_IP
    Port 22022
    User operator
    IdentityFile ~/.ssh/vps_prod
    LocalForward 3306 127.0.0.1:3306  # 转发数据库端口

Host shenma98-all
    HostName YOUR_VPS_IP
    Port 22022
    User root
    IdentityFile ~/.ssh/vps_admin
    ForwardAgent yes

3.4 禁用密码登录与root登录

# 编辑SSH配置文件
vim /etc/ssh/sshd_config

# 修改以下配置：
Port 22022
PermitRootLogin no              # 禁止root登录
PasswordAuthentication no       # 禁用密码登录
PubkeyAuthentication yes         # 启用公钥认证
MaxAuthTries 3                  # 最大尝试次数
ClientAliveInterval 300          # 存活检测
ClientAliveCountMax 2
AllowUsers developer operator   # 仅允许指定用户登录（白名单）
AllowGroups sudo wheel          # 仅允许指定用户组登录

# 重启SSH服务
systemctl restart sshd

# ⚠️ 测试新配置后再断开当前连接：
# 另开一个终端窗口测试：ssh developer@YOUR_VPS_IP -p 22022

四、sudo权限精细配置

4.1 使用visudo编辑sudoers

# 始终使用visudo编辑，避免语法错误导致无法sudo
visudo

# 默认已有sudo组权限（Ubuntu/Debian）：
%sudo   ALL=(ALL:ALL) ALL

# 默认已有wheel组权限（CentOS）：
%wheel  ALL=(ALL) ALL

4.2 常见sudoers配置示例

# 示例1：developer用户可无密码使用特定命令
developer ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx, \
                              /usr/bin/systemctl restart php-fpm, \
                              /usr/bin/apt update, \
                              /usr/bin/apt upgrade

# 示例2：operator用户只能管理nginx服务
operator ALL=(ALL) NOPASSWD: /usr/bin/systemctl start nginx, \
                             /usr/bin/systemctl stop nginx, \
                             /usr/bin/systemctl restart nginx, \
                             /usr/bin/systemctl status nginx

# 示例3：限制用户只能访问特定目录
developer ALL=(webapp) NOPASSWD: /usr/bin/rsync

# 示例4：禁止特定用户使用sudo
bob ALL=(ALL) !ALL

4.3 sudo日志审计

# 查看sudo使用日志（需要journalctl）
journalctl -u sudo -n 50

# 或查看/var/log/secure（CentOS）
tail -f /var/log/secure

# 配置sudo日志（添加到/etc/sudoers或/etc/sudoers.d/）
Defaults logfile="/var/log/sudo.log"
Defaults !syslog

# sudoers文件语法检查
visudo -c

五、目录与文件权限管理

5.1 权限基础回顾

# 权限结构：rwxr-xr-x
# [文件类型][所有者权限][属组权限][其他用户权限]

# 常用权限设置：
chmod 755 file        # rwxr-xr-x：所有者可读写执行，组/其他可读执行
chmod 644 file        # rw-r--r--：所有者可读写，组/其他只读
chmod 600 file        # rw-------：仅所有者可读写
chmod 700 directory   # rwx------：仅所有者可读写执行
chmod 2775 directory  # rwxr-sr-x：带SGID，子文件继承组
chmod 1775 directory  # rwxr-xr-t：带Sticky Bit，防止删除他人文件

5.2 团队协作目录权限方案

# 创建项目目录结构
mkdir -p /var/www/shenma98
chown root:developers /var/www/shenma98
chmod 2775 /var/www/shenma98

# 网站文件目录（开发可写，生产只读）
mkdir -p /var/www/shenma98/html
chown www-data:developers /var/www/shenma98/html
chmod 2775 /var/www/shenma98/html

# 上传目录（需要写入权限）
mkdir -p /var/www/shenma98/uploads
chown www-data:developers /var/www/shenma98/uploads
chmod 3775 /var/www/shenma98/uploads

# 日志目录（组可读）
mkdir -p /var/log/shenma98
chown www-data:developers /var/log/shenma98
chmod 750 /var/log/shenma98

5.3 使用ACL（访问控制列表）精细控制权限

# 安装ACL工具（Ubuntu/Debian）
apt install -y acl

# 查看文件ACL
getfacl /var/www/html

# 为特定用户设置特定权限
setfacl -R -m u:developer:rwX /var/www/html
setfacl -R -m u:operator:r-X /var/www/html
setfacl -R -m g:developers:rwX /var/www/html

# 为用户组设置默认权限（对新文件生效）
setfacl -R -m d:u:developer:rwX /var/www/html
setfacl -R -m d:g:developers:rwX /var/www/html

# 删除ACL
setfacl -x u:developer /var/www/html
setfacl -b /var/www/html    # 删除所有ACL

六、用户活动监控与审计

6.1 bash命令历史记录

# 在/etc/profile或用户.bashrc中添加（追踪每个用户的操作）
export HISTSIZE=5000
export HISTFILESIZE=10000
export HISTTIMEFORMAT="%F %T $(who am i | awk '{print $1}') "
export PROMPT_COMMAND='history -a'

# 实时监控用户bash操作
tail -f /home/*/.bash_history

6.2 使用auditd监控系统调用

# 安装auditd
apt install -y auditd

# 启动服务
systemctl enable auditd
systemctl start auditd

# 监控特定文件访问
auditctl -w /etc/passwd -p wa -k user_modify
auditctl -w /usr/bin/sudo -p x -k sudo_exec

# 查看审计日志
ausearch -k user_modify
ausearch -k sudo_exec

# 列出规则
auditctl -l

# 删除规则
auditctl -W /etc/passwd -p wa -k user_modify

6.3 用户会话监控

# 查看当前登录的所有用户
who
w
last
lastlog

# 查看特定用户的活动
ps -u developer
lsof -u developer

# 强制断开连接（踢出用户）
pkill -KILL -u developer

七、安全最佳实践

⚠️ 关键安全建议

禁止密码登录：所有用户必须使用SSH密钥认证，禁用密码登录。
最小权限原则：每个用户只授予完成任务所需的最小权限集。
禁用root登录：普通用户通过sudo提权，便于审计谁执行了什么操作。
定期轮换密钥：建议每6个月更换一次SSH密钥对。
IP白名单：在authorized_keys或安全组中限制来源IP。
监控异常登录：配置fail2ban自动封禁暴力破解IP。
记录所有操作：启用sudo日志和auditd审计。

总结

本文系统讲解了Linux VPS多用户管理的完整流程，包括用户创建与分组、SSH密钥的生成与配置、sudo权限的精细分配、目录权限控制以及安全审计机制。通过合理的用户管理策略，团队成员可以在安全的环境下高效协作，每个人的操作行为都能被追溯和审计。建议结合本文的实践方案，为团队制定明确的多用户管理规范和安全策略。

VPS多用户管理教程2026：SSH密钥配置与权限分配

VPS多用户管理教程2026：SSH密钥配置与权限分配

前言

一、用户账户体系基础

1.1 Linux用户类型

1.2 关键用户相关文件

二、用户创建与基础配置

2.1 创建新用户

2.2 创建系统用户（服务账户）

2.3 用户组管理

三、SSH密钥配置详解

3.1 本地生成SSH密钥对

3.2 将公钥上传到VPS

3.3 本地SSH客户端配置

3.4 禁用密码登录与root登录

四、sudo权限精细配置

4.1 使用visudo编辑sudoers

4.2 常见sudoers配置示例

4.3 sudo日志审计

五、目录与文件权限管理

5.1 权限基础回顾

5.2 团队协作目录权限方案

5.3 使用ACL（访问控制列表）精细控制权限

六、用户活动监控与审计

6.1 bash命令历史记录

6.2 使用auditd监控系统调用

6.3 用户会话监控

七、安全最佳实践

⚠️ 关键安全建议

总结

相关文章推荐

评论(0)

提示：请文明发言 取消回复

相关文章

排行榜展示

文章展示

提示：请文明发言取消回复