Legate'in cevabı hakkında yorum yapmak için yeterli desteğim yok, ancak bu cevabın bize başka bir kullanım davasında yardımcı olduğunu paylaşmak istedim:
1.) söz konusu hesap, bir son kullanıcı hesabı değil, bir uygulamayı çalıştıran yerel bir hizmet hesabıdır.
2.) son kullanıcılar, kendileri gibi ssh girişi yaparlar ve sudo /bin/su <user>hizmet hesabının doğrudan giriş kabiliyetine sahip olamayacağı bir denetim takibi gerekliliği nedeniyle kullanıcı olmak ve uygulamayı yönetmek.
3.) hizmet hesabının geçerli bir kabuğu olmalı ( /bin/bashdeğil /sbin/nologin), çünkü bir Kurumsal Planlama Platformu (aracı yerel olarak root olarak çalışıyor) olmalıdır su - <user>ve su -s /bin/bash <user>tam bir kabuğun yapabilme yeteneğine sahip olmamalıdır ve işleri uzaktan çalıştırmak için gereklidir Birden çok sunucuyu ve veritabanını kapsayan daha büyük toplu işlemler için.
Yani ...
passwd -l <user>
Kısıtlamaları sağlamaz çünkü ortak anahtar kimlik doğrulaması PAM'yi atlar ve yine de doğrudan oturum açmaya izin verir.
usermod -s /sbin/nologin <user>
Sınırlamaları karşılamıyorsa, işletme zamanlayıcısını büyütür
usermod --lock --expiredate 1970-01-01 <user>
Bu bizim kazananımız. Uzaktan oturum açma devre dışı bırakılmış, ancak yine de kök , zamanlayıcı su <user>diğer kullanıcılarla olduğu gibi yine de sudodüzgün çalışabiliyor ve yetkili son kullanıcılar ihtiyaç duyulduğunda hedef hizmet hesabı haline gelebiliyor.
Çözüm için teşekkürler!