Как запретить удаленный вход в систему, но включить локальное 'su username'

Question

Мы пишем приложение (perl, mysql), которое будет работать без * на nix (вероятно, CENTOS).

Как настроить / защитить локального пользователя / пароль для учетной записи «приложение» (где приложение будет запущено), чтобы,

• удаленный ssh-логин невозможен
  SSH работает, так что логины для всех учетных записей, но мне нужно защитить эту единственную учетную запись
• «su app» работает для пользователей с существующими учетными записями

---

Как называется такая установка? Я, конечно, не первый, кто пробует это, это должно быть задокументировано много раз, но я не могу найти соответствующие условия поиска для Google.

---

РЕДАКТИРОВАТЬ: Решение

Я добавил строки:

# prevent certain users from using ssh for login
# while retaining the option to 'su username'
DenyUsers app

в /etc/ssh/sshd_config

затем перезапустите sshd используя

service sshd restart

Теперь я могу войти как 'user' через ssh и 'su app', чтобы работать как приложение.

Answer 1

поместите всех пользователей в группу 'remote_users' и укажите в своем sshd.conf, что только пользователи из этих групп могут входить через ssh:

AllowGroups

         This keyword can be followed by a list of group name patterns,
         separated by spaces.  If specified, login is allowed only for
         users whose primary group or supplementary group list matches one
         of the patterns.  Only group names are valid; a numerical group
         ID is not recognized.  By default, login is allowed for all
         groups.  The allow/deny directives are processed in the following
         order: DenyUsers, AllowUsers, DenyGroups, and finally
         AllowGroups.

Answer 2

Если вы используете ключи openssh для входа через ssh, вы можете просто запретить логин паролей для всех учетных записей. su ИНГ будет по- прежнему возможно.