Linux通过环境变量限制用户能执行的命令

最近公司有个场景，需要限制用户登陆以后可以执行的命令，从而提高系统的安全性。本身bash已经有了一个受限制的版本叫做rbash，我们在这个基础上还可以通过环境变量的方式对用户做进一步的限制。

正常情况下用useradd xx去创建用户的时候给用户配置的shell都是bash，这个可以通过查看文件/etc/passwd或者是通过命令echo $SHELL进行确认。

查看bash命令的man页面会发现bash还有一个受限制模式，如下

当执行bash命令的时候带上-r参数或者是--restricted的时候，当前的shell就由普通的bash变成了受限制的shell，上图红框内的命令就都执行不了了，我这里就不一一翻译了，选取最前面的几条罗列下

有了这个受限制的shell，用户基本上就被限制在自己的home目录下，并且只能执行PATH下的命令。

但是这个还不够，我们还需要在不影响别的用户的前提下将受限制用户能执行的命令进行限制，换句话说，需要继续限制该用户的PATH环境变量所包含的命令集合。如果我们能够将允许用户执行的命令都放在一个目录中，再将这个目录指定为PATH，那么就可以限制用户能够执行的命令了。下面看看怎么在用户登录的时候自动完成这一目标。

用户在登录的时候会自动运行几个文件，来设置shell的环境变量，如下所示

我这里的思路是在/etc/profile.d中创建一个.sh文件，在其中设置好对应动作，这样用户登录以后就会自动执行该文件，达到限制的目的。借鉴网上的经验，可以直接忽略系统的profile文件，然后使用自定义的profile文件。

在/etc/profile.d下创建login_tester.sh如下