Ubuntu 系统等保测评中的三员管理及部分用户相关策略脚本

本文脚本实现了添加审计管理员、安全管理员及root用户登录策略，符合等保三级相关要求，参考如下：

#!/bin/bash

# 1. 添加审计管理员用户  
# 创建一个新的用户组 audit_operator  
sudo groupadd audit_operator    
# 创建一个新用户 audit_operator，指定家目录为 /home/audit_operator，使用 bash 作为登录shell，并加入 audit_operator 组  
sudo useradd -d /home/audit_operator -m audit_operator -g audit_operator -s /bin/bash    
# 为 audit_operator 用户设置密码为 Cctv@2024  
echo "audit_operator:Cctv@2024" | sudo chpasswd    
# 将 audit_operator 用户添加到 adm 组，赋予其额外的权限  
sudo usermod -aG adm audit_operator    

# 2. 添加安全管理员用户  
# 创建一个新的用户组 safe_operator，并指定组ID为501  
sudo groupadd -g 501 safe_operator    
# 创建一个新用户 safe_operator，指定UID为501，家目录为 /home/safe_operator，使用 bash 作为登录shell，并加入 safe_operator 组  
sudo useradd -d /home/safe_operator -u 501 -g safe_operator -s /bin/bash -m safe_operator    
# 为 safe_operator 用户设置密码为 Cctv@2024  
echo "safe_operator:Cctv@2024" | sudo chpasswd    
# 将 safe_operator 用户添加到多个组，包括 adm, cdrom, sudo, dip, plugdev, lp，赋予其更多权限  
sudo usermod -aG adm,cdrom,sudo,dip,plugdev,lp safe_operator    
# 修改 sudoers 文件，允许 safe_operator 用户无需密码执行所有 sudo 命令  
sudo sh -c "echo 'safe_operator  ALL=(ALL:ALL) NOPASSWD: ALL' >> /etc/sudoers"    

# 3. 允许用户登录  
# 删除 sshd_config 中可能存在的 #AllowUsers 注释行  
sudo sed -i '/^#AllowUsers/d' /etc/ssh/sshd_config    
# 向 sshd_config 追加配置，仅允许 safe_operator 和 audit_operator 用户通过SSH登录  
echo 'AllowUsers safe_operator audit_operator' | sudo tee -a /etc/ssh/sshd_config    

# 4. 配置安全设置  
# 向系统环境变量文件 /etc/profile 添加一行，设置会话超时时间为900秒（15分钟）  
echo 'export TMOUT=900' >> /etc/profile    
# 应用新的环境变量设置  
source /etc/profile    
# 删除 pam.d/login 文件中可能存在的 auth required pam_tally2.so 行  
sudo sed -i '/^auth required pam_tally2.so/d' /etc/pam.d/login    
# 向 pam.d/login 追加配置，限制登录失败尝试次数和锁定时间  
echo 'auth required pam_tally2.so deny=3 unlock_time=300 even_deny_root root_unlock_time=300' | sudo tee -a /etc/pam.d/login    

# 5. 禁用 root 登录  
# 修改 sshd_config 文件，禁用 root 用户的SSH登录  
sudo sed -i '/^#PermitRootLogin/c\PermitRootLogin no' /etc/ssh/sshd_config    
# 重启SSH服务以应用新的配置  
sudo systemctl restart sshd.service+-