在CentOS系统中,root用户拥有最高权限，不当使用可能导致系统安全风险或配置错误，为了防止用户随意切换到root账户，可以通过多种方法进行限制和管理，既能保障系统安全，又能规范操作流程，以下从不同角度介绍具体实现方式。
使用sudo替代直接root登录
sudo命令允许普通用户以root权限执行特定命令,而无需知道root密码，这是防止直接切换root的首选方法，首先需要编辑sudoers文件，使用visudo命令打开配置文件，为指定用户添加权限，添加username ALL=(ALL) ALL，表示该用户可执行所有命令，为增强安全性，可设置sudo日志记录，通过Defaults logfile=/var/log/sudo.log记录所有sudo操作，启用sudo密码缓存功能，避免频繁输入密码，但需合理设置缓存时间（如timestamp_timeout=10）。
限制root账户的登录权限
直接禁用root的SSH登录功能可大幅提升系统安全性,编辑SSH配置文件/etc/ssh/sshd_config，将PermitRootLogin yes修改为PermitRootLogin no，并保存后重启SSH服务（systemctl restart sshd），可通过设置复杂的root密码或禁用root密码登录（仅允许密钥登录）进一步加固，对于物理服务器，可在BIOS层面禁用root账户的本地登录权限。
通过PAM模块控制用户切换
可插入式认证模块（PAM）提供了灵活的权限控制机制，创建自定义PAM规则文件/etc/pam.d/su，在文件开头添加auth required pam_wheel.so group=wheel，仅允许wheel组成员使用su命令切换到root，若需完全禁止su切换，可添加auth sufficient pam_rootok.so和auth required pam_wheel.so group=admusers，并将普通用户加入自定义组（如admusers），修改后需验证配置语法，避免因错误配置导致无法登录。
设置环境变量和命令别名
在普通用户的~/.bashrc或~/.profile文件中添加alias su='echo "Please use sudo instead of su"'，当用户尝试执行su时将显示提示信息，可通过export SUDO_EDITOR=vim等变量限制sudo使用的编辑工具，防止误操作，对于需要频繁执行root操作的用户，可创建脚本封装sudo命令，实现权限的精细化管控。
定期审计与监控
建立完善的审计机制是长期安全的关键,使用last命令查看历史登录记录，或通过ausearch工具分析审计日志（需提前启用auditd服务），对于sudo操作，可结合logrotate日志管理工具，定期归档日志文件，设置异常登录告警，如监控连续失败的root登录尝试，及时响应潜在的安全威胁。
FAQs
Q1: 如何允许特定用户使用su命令切换到root？
A1: 编辑/etc/pam.d/su文件，添加auth required pam_wheel.so group=wheel，并将允许的用户加入wheel组（使用usermod -aG wheel username命令），重启系统或重新登录后生效。
Q2: 禁用root SSH登录后，如何紧急恢复root远程访问？
A2: 可通过普通用户账户登录后，临时修改SSH配置（echo "PermitRootLogin yes" >> /etc/ssh/sshd_config），重启SSH服务，或使用救援模式（如GRUB单用户模式）挂载根分区并恢复配置，完成后务必重新禁用root登录。