要禁止linux用戶修改密碼，可通過以下方法實現：1. 使用sudo passwd -l username鎖定用戶密碼；2. 修改pam配置文件/etc/pam.d/passwd并結合/etc/passwd.access限制特定用戶或組使用passwd命令；3. 通過sudoers文件設置僅特定用戶組可執行passwd命令并移除其他用戶的執行權限。這些方法分別適用于不同場景，從簡單鎖定到集中權限管理，操作前應備份配置文件并在測試環境中驗證，確保不影響系統正常訪問與管理。
在linux系統中，有時我們需要限制某些用戶修改自己的密碼，比如為了安全策略或者防止誤操作。使用 passwd 命令可以實現對用戶密碼修改權限的控制。下面介紹幾種常見的方法，幫助你禁止用戶修改密碼。
禁用用戶修改密碼的方法
要阻止用戶更改自己的密碼，最直接的方式是通過 passwd 命令鎖定用戶的密碼狀態。執行以下命令即可：
- 使用 root 或有 sudo 權限的賬戶運行：
sudo passwd -l username
這個命令會在 /etc/shadow 文件中將該用戶的密碼前加上一個 !，表示密碼被鎖定。用戶仍然可以登錄（如果使用其他認證方式，如ssh密鑰），但無法再通過 passwd 修改密碼。
需要注意的是，這并不是完全禁止用戶修改密碼行為的最佳方案，因為一旦解鎖（使用 passwd -u），用戶就可以再次修改密碼。
更徹底地限制密碼修改權限
如果你希望更嚴格地限制用戶不能修改密碼，可以通過修改系統文件或設置PAM模塊來實現。
方法一：修改 /etc/pam.d/passwd 配置
PAM（Pluggable Authentication Modules）是Linux用于處理身份驗證的模塊系統。你可以在這里添加規則，限制特定用戶或組使用 passwd 命令。
-
編輯 PAM 配置文件：
sudo vi /etc/pam.d/passwd
-
添加如下行以禁止某個用戶組修改密碼：
-
創建 /etc/passwd.access 文件，并添加限制規則：
-:ALL EXCEPT wheel: ALL
這樣配置后，只有屬于 wheel 組的用戶才能使用 passwd 命令，其他用戶則會被拒絕。
這種方式的好處是可以靈活控制不同用戶或組的權限，適合多用戶環境下的統一管理。
使用sudoers限制普通用戶執行passwd權限
默認情況下，任何用戶都可以運行 passwd 來修改自己的密碼。如果你希望只有特定用戶才能執行此命令，可以結合 sudo 和 visudo 來限制。
-
編輯 sudoers 文件：
sudo visudo
-
添加如下規則，只允許 admin 組用戶使用 passwd：
%admin ALL=(ALL) /usr/bin/passwd
-
移除其他用戶的執行權限：
sudo chmod o-rx /usr/bin/passwd
這樣普通用戶即使嘗試運行 passwd，也會提示權限不足。而管理員則可以通過 sudo passwd username 來為用戶修改密碼。
這種方法適用于集中管理密碼修改權限的場景，尤其適合企業服務器。
注意事項與建議
- 測試環境先行：在正式環境中應用這些限制之前，最好先在測試系統上驗證，避免誤操作導致自己也無法修改密碼。
- 備份配置文件：修改 /etc/pam.d/passwd 或 /etc/sudoers 前，務必備份原文件，防止配置錯誤引發問題。
- 考慮替代登錄方式：如果用戶使用 SSH 密鑰登錄，即使密碼被鎖定也不會影響其訪問系統，這點需要提前評估。
基本上就這些方法了。雖然不是特別復雜，但在實際操作中容易忽略細節，特別是權限和配置文件的語法問題。只要按照步驟來，就能有效控制用戶是否能修改密碼。
