在CentOS服务器的日常运维中，root账户拥有系统最高管理权限，一旦开放远程登录入口，攻击者就可以通过暴力破解、撞库或口令猜测等方式直接针对root账户发起攻击。生产环境中通常的做法是禁止root用户通过SSH远程登录，只允许普通用户远程接入系统，并在需要执行管理任务时通过sudo等工具完成临时提权。这样即使普通用户口令泄露，攻击者也无法直接获得root操作权限，能够有效降低安全风险。
限制root用户远程登录的核心原理
CentOS系统的远程登录服务由OpenSSH提供，对应的守护进程为sshd，其主配置文件位于/etc/ssh/sshd_config。远程登录相关的安全策略几乎都由这个配置文件控制，其中PermitRootLogin参数直接决定root用户能否通过SSH协议登录系统。默认情况下，许多CentOS发行版允许root用户远程登录，这虽然方便了初期管理，但在公网环境下风险很高。
限制root用户远程登录的本质，就是将PermitRootLogin参数从yes修改为no或prohibit-password，同时确保有其他可登录的普通用户能够完成日常管理任务。由于普通用户无法直接修改系统配置、安装软件或管理服务，因此还需要借助sudo机制进行权限提升。CentOS通常会提供一个wheel用户组，该组成员默认拥有通过sudo执行管理命令的权限。
在修改配置之前，管理员应当先创建至少一个普通用户并将其加入wheel组，同时验证sudo权限可以正常使用。这样可以避免在禁用root远程登录后出现无法远程管理服务器的尴尬局面。如果配置顺序颠倒，一旦误操作导致SSH服务异常，可能只能通过服务器本地的物理控制台进行恢复。
具体配置步骤与命令示例
整个配置过程可以归纳为四个环节：创建普通管理用户、赋予sudo权限、修改sshd配置文件、重启服务并验证。下面按顺序说明每一步的操作命令和注意事项。
1. 创建普通管理用户
首先以root身份登录CentOS系统，使用useradd命令创建一个用于远程登录的普通用户。这里以用户admin为例，管理员可以根据自身环境替换为其他用户名。创建完成后使用passwd命令为该用户设置一个强度较高的密码。
# 创建admin用户 useradd admin # 设置admin用户的密码，命令会提示输入两次新密码 passwd admin
密码设置成功后，可以使用id admin命令查看该用户的基本信息，确认用户已经创建成功。不过此时该用户还不具备执行管理命令的权限，只能进行普通用户级别的操作。
2. 赋予普通用户sudo权限
为了让admin用户能够执行系统管理命令，需要将其加入wheel用户组。在CentOS系统中，默认的sudoers配置允许wheel组成员通过sudo命令以root身份执行任意命令。
# 将admin用户追加到wheel组，-a表示追加，-G指定附加组 usermod -aG wheel admin # 查看admin用户所属组，确认wheel组已经生效 id admin
加入用户组后，当前已经登录的会话不会立即刷新组信息，最好让admin用户重新登录一次，或者切换到该用户后再进行sudo测试。下面命令会切换到admin用户，并尝试查看只有root用户才有权限访问的/root目录。
# 切换到admin用户，并加载其环境 su - admin # 尝试以root权限查看/root目录，需要输入admin用户的密码 sudo ls /root
如果sudo权限配置成功，命令会提示输入admin的密码，随后列出/root目录的内容。如果提示该用户不在sudoers文件中，则需要检查wheel组是否已经生效，以及/etc/sudoers文件中相关配置是否被注释。
3. 修改sshd配置文件
确认普通管理用户已经可以正常提权后，就可以修改SSH服务的主配置文件。继续以root用户执行以下命令编辑/etc/ssh/sshd_config。
# 使用vi编辑sshd配置文件 vi /etc/ssh/sshd_config
在配置文件中查找PermitRootLogin配置项。如果该行之前被注释，可以取消注释并根据需要修改参数值；如果文件中不存在这一项，则可以直接在文件末尾添加。用于完全禁止root远程登录的配置如下：
# 完全禁止root用户通过SSH远程登录 PermitRootLogin no
PermitRootLogin支持多个可选值，管理员可根据实际安全策略选择不同的限制级别。
- yes：允许root用户通过SSH远程登录，通常是系统默认值，安全风险最高。
- no：完全禁止root用户远程登录，是最严格的选择。
- prohibit-password：禁止root用户使用密码远程登录，但仍然允许使用SSH密钥登录。
- forced-commands-only：仅允许root用户在远程登录时执行预先指定的命令，通常用于自动化任务。
如果希望完全禁止root远程登录，设置为no即可；如果服务器需要配合自动化脚本或密钥认证执行某些root级任务，可以设置为prohibit-password。对于绝大多数普通生产服务器来说，直接使用no是最为稳妥的方案。
4. 重启sshd服务使配置生效
配置文件修改完成后，必须重启SSH服务才能让新配置生效。在CentOS 7及以上版本中，可以使用systemctl命令管理服务状态。此外，建议同时确认SSH服务已经设置为开机自启，避免服务器重启后服务没有运行而导致远程管理中断。
# 重启sshd服务，使新配置生效 systemctl restart sshd # 设置sshd服务开机自启 systemctl enable sshd # 查看sshd服务当前运行状态 systemctl status sshd
需要注意的是，已经建立的SSH连接不会因为服务重启而断开，但新发起的root远程登录请求会被拒绝。因此执行重启命令前，务必确保当前操作连接是非root用户，或者已经打开了本地控制台备用。
配置验证与常见问题处理
配置完成后的验证工作非常重要。应该分别测试root用户和普通管理用户的远程登录情况，以确认限制策略按预期生效，同时普通管理通道仍然可用。
测试时，可以先尝试使用root用户远程登录服务器，正常情况下会收到权限拒绝的提示。随后再使用admin用户远程登录，登录成功后通过sudo执行一条需要root权限的命令，验证整条管理链路是否通畅。
# 尝试以root用户远程登录，预期会被拒绝 ssh root@服务器IP # 以普通管理用户远程登录 ssh admin@服务器IP # 登录成功后，使用sudo验证提权是否正常 sudo systemctl status sshd
如果root用户远程登录被拒绝，而admin用户可以登录并正常提权，说明配置已经达到预期效果。如果此时发现所有用户都无法登录，则很可能是sshd配置文件出现了语法错误。可以使用以下命令检查配置文件的语法正确性。
# 检查sshd配置文件语法，若存在错误会显示行号和具体原因 sshd -t
该命令不会启动服务，只对配置文件进行语法校验。如果输出的错误指向某一行配置，可以重新编辑/etc/ssh/sshd_config修正问题，然后再次执行systemctl restart sshd重启服务。
如果配置完成后所有远程连接都无法建立，管理员也不必过于担心，因为限制root远程登录并不会影响服务器本地控制台的root登录能力。可以携带显示器或通过服务器管理口进入本地控制台，直接以root身份登录系统进行修复。因此，在生产环境中建议保留本地控制台访问通道，作为最后的应急手段。
对于选择prohibit-password方案的管理员，还需要正确配置SSH密钥认证，否则root用户将无法登录。具体来说，需要提前将客户端的公钥内容写入root用户的~/.ssh/authorized_keys文件，并确保相关目录和文件权限符合OpenSSH的要求。
# 设置/root/.ssh目录权限为700 chmod 700 /root/.ssh # 设置authorized_keys文件权限为600 chmod 600 /root/.ssh/authorized_keys
如果权限设置过于宽松，OpenSSH可能会拒绝使用密钥进行认证。因此，在遇到密钥登录失败时，除了检查公钥内容是否正确之外，也要重点排查~/.ssh目录和authorized_keys文件的权限。
安全加固延伸与总结
限制root用户远程登录只是CentOS系统SSH安全加固中的基础环节。管理员可以在此基础上，根据实际业务需求进一步采取其他安全措施，例如禁用密码认证、强制使用密钥登录、修改默认SSH端口、配置防火墙白名单以及部署登录失败检测工具等。这些措施结合起来，可以显著降低服务器被自动化扫描和暴力破解的风险。
需要特别注意的是，任何安全策略的调整都应该在测试环境或业务低峰期进行，并提前准备好回退方案。对于已经运行关键业务的服务器，修改SSH配置前最好先备份原始配置文件，例如使用cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak保存副本，确保出现问题时可以快速恢复。
总而言之，限制root用户远程登录的核心在于调整PermitRootLogin参数，同时配合普通用户与sudo权限完成管理闭环。管理员在执行过程中应当遵循“先建用户、再改配置、后做验证”的顺序，并保留本地控制台访问通道用于应急。只要操作规范，这一安全策略可以在不影响日常运维的情况下有效提升CentOS服务器的远程访问安全性。
CentOSSSH配置root用户限制远程登录sshd_config修改时间：2026-07-22 18:51:26