第一次管理 Linux 服务器：不用直接登录 root 的 SSH、sudo 与 systemd 工作流

服务器文档里的 root 是远程 Linux 主机的管理员账户，不是 Android Root；SSH 密钥、sudo 和 systemd 也不会修补手机启动镜像。本篇只在你拥有且有控制台的测试 VM 上完成一个任务：验证普通管理员通道后，禁止 SSH 直接登录 root，并保留明确回滚点。

你会完成什么#

• 读取 SSH 当前的“生效配置”，而不是只看某一行文件。
• 在第二个终端验证普通账号的公钥登录和 sudo 权限。
• 用独立 drop-in 禁止直接 root 登录，并在 reload 前检查语法。
• 用新会话核验结果，同时保持旧会话与控制台可用。
• 理解 SSH、sudo 与 systemd 专用服务账户在最小权限中的分工。

先看结论#

心智模型#

管理员电脑 ──公钥──> 普通运维账号 ──sudo 单任务──> 必要的系统变更
                                      └─ systemd ─> 专用低权限服务账号
回滚护栏：云/VM 控制台 + 保持的旧会话 + 配置备份 + sshd -t

工具清单#

项目全景：服务器与运维的 8 个项目，一个不漏#

这 8 个项目适合写成一条从系统安装与管理员训练，到 Kubernetes 工作负载，再到事故根因分析的入门运维路线。

1. 系统管理学习与基线 · 2#

用 Born2beRoot 和管理员脚本练习账户、服务、日志和最小权限，只在虚拟机中操作并保留快照。

本组共 2 项：2 个源项目、0 个 Fork，其中 0 项已归档。新手应先从“未归档的源项目”核对 README 和 Release，再用 Fork 追溯设备适配或历史差异；分组本身不等于推荐安装。

2. 多发行版部署与可恢复启动 · 1#

围绕离线安装、ZFS root、黄金镜像和 WireGuard 建立部署前检查、回滚引导环境与配置证据。

本组共 1 项：1 个源项目、0 个 Fork，其中 0 项已归档。新手应先从“未归档的源项目”核对 README 和 Release，再用 Fork 追溯设备适配或历史差异；分组本身不等于推荐安装。

3. Kubernetes 工作负载与集群信任 · 2#

以在线评测系统和自定义 CA 注入器说明工作负载部署、证书分发与权限边界，不把仓库名中的 root 当成超级用户。

本组共 2 项：2 个源项目、0 个 Fork，其中 0 项已归档。新手应先从“未归档的源项目”核对 README 和 Release，再用 Fork 追溯设备适配或历史差异；分组本身不等于推荐安装。

4. 事故调查、RCA 与 ChatOps · 3#

把告警证据、只读诊断、根因假设和人工批准修复串成闭环；AI/MCP 输出只作线索，不能直接获得生产写权限。

本组共 3 项：3 个源项目、0 个 Fork，其中 0 项已归档。它们的平台、用途或分类存在边界，只作逐项核验，不当作默认安装候选。

开始前#

仅使用可销毁的测试 VM。确认你能打开虚拟化平台或云厂商控制台，记录 VM 名称、IP、发行版和 OpenSSH 版本。把 <admin-user>、<host>、<service> 当作必须替换的占位符；<service> 在 Debian/Ubuntu 常为 ssh，部分系统为 sshd，用 systemctl status sshd 与 systemctl status ssh 只读判断。不要关闭当前 root/管理员会话。

操作步骤#

1. 记录生效配置和回滚材料#

在现有会话运行 whoami、hostnamectl，确认目标。执行 sudo sshd -T | grep -i '^permitrootlogin ' 记录全局生效值；有 Match 规则时，应按 sshd 手册使用 -C 提供目标 user/host/address 再核对。运行 sudo cp -a /etc/ssh/sshd_config /etc/ssh/sshd_config.before-root-login-change 保存主文件元数据；如果系统已有 /etc/ssh/sshd_config.d，同时列出其内容并截图/记录。备份只用于本次测试，完成后按组织策略归档。

2. 在第二会话验证普通管理员#

从客户端新开终端，执行 ssh <admin-user>@<host>。确认服务器指纹来自控制台或既有可信记录，不因“host key changed”就删除 known_hosts。登录后运行 id、sudo -l，再执行只读的 sudo id。保持这个会话打开；只有公钥登录和 sudo 都成功，才进入下一步。

3. 写入最小 drop-in 并安全 reload#

若发行版支持 sshd_config.d，用 sudoedit /etc/ssh/sshd_config.d/60-disable-root-login.conf 创建只含 PermitRootLogin no 的文件；若不支持 include，停止并查该发行版官方文档，不盲改主文件。运行 sudo sshd -t，再用 sudo sshd -T | grep -i '^permitrootlogin ' 确认解析值是 no。之后执行 sudo systemctl reload <service>；reload 保留现有连接。若任何命令失败，不继续，按下一步回滚。

4. 用第三会话验证并演练回滚#

再开一个全新终端，确认 ssh <admin-user>@<host> 仍可用。若组织允许做负向测试，可运行 ssh root@<host>，预期认证被拒绝；不要反复猜密码。回滚时，在仍打开的普通管理员会话中先核对文件路径，再执行 sudo rm /etc/ssh/sshd_config.d/60-disable-root-login.conf，运行 sudo sshd -t 并 reload <service>。若曾直接改主文件，则用备份经 sudoedit 对比恢复，不做未经检查的覆盖。正式保留新策略时，不执行回滚，只记录文件与生效值。

验证#

• 至少一个新开的普通管理员公钥会话在变更后成功登录。
• sudo sshd -t 无输出且退出码为零。
• sudo sshd -T 显示 permitrootlogin no，与目标策略一致。
• 直接 root SSH 认证被拒绝，而现有会话没有中断。
• 控制台、备份路径、drop-in 路径与回滚动作都已记录。

排错#

完成清单#

• □我确认这是测试 VM，不是 Android 设备或生产服务器。
• □我保留了控制台、旧会话和可识别的配置备份。
• □我在变更前后都验证了普通管理员公钥与 sudo。
• □我运行了 sshd -t，并记录 sshd -T 的生效值。
• □我知道如何移除唯一的 drop-in 并安全 reload 回滚。

一手资料#

• OpenSSH PermitRootLogin
• sudoers manual
• systemd.exec reference
• Ansible privilege escalation
• Cockpit guide