CentOS怎么开启root用户的SSH远程登录权限？

在CentOS系统中，root用户是拥有最高权限的超级用户，可以对系统进行任何操作，包括安装软件、修改系统配置、管理用户等，正因为其权限至高无上，直接以root身份登录也带来了较高的安全风险，现代Linux发行版，包括CentOS，都推荐使用普通用户登录，然后通过sudo或su命令来获取临时的管理员权限，在某些特定场景下，如系统初始设置或故障恢复，直接以root用户登录仍然是必要的，本文将详细介绍在CentOS中实现root登录的几种方法,并探讨其背后的安全最佳实践。

---

启用并直接以Root用户登录SSH

在较新的CentOS版本（如7、8、9）中，出于安全考虑，默认情况下是禁止通过SSH直接使用密码以root用户登录的,你需要手动修改SSH的配置文件来启用此功能。

操作步骤：

1. 使用普通用户登录服务器：你需要有一个具有sudo权限的普通用户账户,通过SSH登录到你的CentOS服务器。

2. 编辑SSH配置文件：使用sudo权限编辑sshd_config文件，该文件位于/etc/ssh/目录下。

   sudo vi /etc/ssh/sshd_config

   这里使用vi编辑器，你也可以使用nano或其他你熟悉的编辑器。

3. ：在文件中找到 #PermitRootLogin prohibit-password 这一行，默认情况下它可能是被注释掉的（以开头），并且值可能是prohibit-password,你需要做两件事：

   • 删除行首的,取消注释。
   • 将参数值从prohibit-password或no修改为yes。

   修改后的行应如下所示：

   PermitRootLogin yes

   参数值说明：

   • yes: 允许使用密码和SSH密钥以root用户登录。
   • prohibit-password: 允许使用SSH密钥登录，但禁止使用密码登录，这是比yes更安全的选择。
   • no: 完全禁止root用户登录。

4. 保存并退出编辑器：在vi中，按下Esc键，然后输入wq并按回车键,即可保存更改并退出。

5. 重启SSH服务：为了让配置生效,必须重启SSH守护进程。

   sudo systemctl restart sshd

完成以上步骤后，你就可以使用root用户名和对应的密码直接通过SSH登录到CentOS服务器了。

ssh root@<你的服务器IP地址>

---

使用su命令切换至Root用户

这是最传统的获取root权限的方式，你首先以普通用户身份登录系统，然后在终端中使用su命令来切换用户。

操作步骤：

1. 以普通用户登录：通过SSH或控制台登录你的CentOS服务器。

2. 执行su命令：在终端中输入以下命令并按回车：

   su -

   系统会提示你输入root用户的密码，输入正确密码后，你的命令提示符通常会从变为，表示当前已切换到root用户环境。

su 与 su - 的区别：

命令	说明
su	切换到root用户，但不改变当前的环境变量（如PATH），你仍然保留着原用户的环境设置。
su - 或 su -l	切换到root用户，并完全加载root用户的环境变量，就像root用户直接登录一样，这是推荐的做法，因为它能确保所有系统路径和设置都正确无误。

当你完成管理员操作后，可以输入exit命令退出root会话,返回到原来的普通用户。

---

推荐实践：使用sudo命令执行特权操作

sudo（Superuser Do）是现代Linux系统中最推荐的管理方式，它允许一个被授权的普通用户以root（或其他用户）的身份来执行单个命令，而无需知道root密码。

sudo的优势：

• 安全性：不需要共享root密码,降低了密码泄露的风险。
• 审计性：所有通过sudo执行的命令都会被记录在日志文件中（通常是/var/log/secure）,便于追踪和审查。
• 灵活性：可以精细地控制用户可以执行哪些命令,实现最小权限原则。

操作步骤：

1. ：在CentOS中，wheel组是默认拥有sudo权限的用户组，你可以使用以下命令将一个用户添加到wheel组：

   

   sudo usermod -aG wheel <你的用户名>

   将用户centos添加到wheel组：

   sudo usermod -aG wheel centos

   添加后,用户需要注销并重新登录才能使权限生效。

2. ：在任何需要root权限的命令前加上sudo即可。

   sudo yum update -y
   sudo systemctl restart nginx

   首次使用sudo时，系统会提示你输入当前用户的密码（而不是root密码），在一定时间内（默认为5分钟）再次使用sudo则无需重复输入密码。

---

安全考量与最佳实践

虽然直接root登录很方便，但在生产环境中应极力避免,以下是几点重要的安全建议：

• ：始终优先使用sudo来进行日常管理操作,它是兼顾效率与安全的最佳选择。
• 禁用密码Root登录：如果确实需要远程root访问，建议配置SSH密钥认证，并将sshd_config中的PermitRootLogin设置为prohibit-password，这样既方便了管理,又避免了暴力破解密码的风险。
• 使用SSH密钥：为所有用户（特别是管理员）配置SSH密钥对认证，并完全禁用密码认证（PasswordAuthentication no）。
• 定期审查：定期检查/var/log/secure日志，关注异常的登录尝试和sudo使用记录。

---

相关问答 (FAQs)

直接以Root用户登录和使用sudo有什么本质区别？哪个更好？

回答： 本质区别在于权限的授予方式和持久性。

• 直接Root登录：一旦登录，你获得的是一个完整、持久的管理员会话，所有后续操作都在root权限下进行，存在误操作导致系统破坏的高风险，且需要共享root密码,安全性较低。
• ：是按需授予的临时权限，你只在特定的命令前加上sudo，该命令才会以root权限执行，它使用你自己的密码进行认证，操作会被详细记录，并且可以精细控制权限范围。
  上文小编总结是，sudo远远优于直接Root登录，它遵循了最小权限原则，极大地提升了系统的安全性和可审计性,是所有生产环境和有安全意识的管理员的首选。

我忘记了Root密码，该如何重置？

回答： 重置root密码需要通过单用户模式来完成,基本流程如下：

1. 重启服务器，在GRUB启动菜单出现时，按e键进入编辑模式。
2. 找到Linux内核启动行（通常以linux或linux16开头）,使用方向键移动到该行。
3. 修改启动参数：找到ro（可能伴随rhgb quiet），将其修改为 rw init=/sysroot/bin/sh，这会告诉系统以读写模式挂载根文件系统,并直接启动一个shell。
4. 启动系统：按Ctrl + X组合键,系统将进入单用户模式的shell。
5. 切换根目录：执行命令 chroot /sysroot。
6. 重置密码：执行命令 passwd root，然后按提示输入新的root密码。
7. 更新SELinux上下文：执行 touch /.autorelabel,确保重启后SELinux能正确重新标记文件。
8. 退出并重启：先输入exit退出chroot环境，再输入exit或reboot重启系统，重启完成后,你就可以用新密码登录了。