要禁止linux用户修改密码，可通过以下方法实现：1. 使用sudo passwd -l username锁定用户密码；2. 修改pam配置文件/etc/pam.d/passwd并结合/etc/passwd.access限制特定用户或组使用passwd命令；3. 通过sudoers文件设置仅特定用户组可执行passwd命令并移除其他用户的执行权限。这些方法分别适用于不同场景，从简单锁定到集中权限管理，操作前应备份配置文件并在测试环境中验证，确保不影响系统正常访问与管理。
在linux系统中，有时我们需要限制某些用户修改自己的密码，比如为了安全策略或者防止误操作。使用 passwd 命令可以实现对用户密码修改权限的控制。下面介绍几种常见的方法，帮助你禁止用户修改密码。
禁用用户修改密码的方法
要阻止用户更改自己的密码，最直接的方式是通过 passwd 命令锁定用户的密码状态。执行以下命令即可：
- 使用 root 或有 sudo 权限的账户运行：
sudo passwd -l username
这个命令会在 /etc/shadow 文件中将该用户的密码前加上一个 !，表示密码被锁定。用户仍然可以登录（如果使用其他认证方式，如ssh密钥），但无法再通过 passwd 修改密码。
需要注意的是，这并不是完全禁止用户修改密码行为的最佳方案，因为一旦解锁（使用 passwd -u），用户就可以再次修改密码。
更彻底地限制密码修改权限
如果你希望更严格地限制用户不能修改密码，可以通过修改系统文件或设置PAM模块来实现。
方法一：修改 /etc/pam.d/passwd 配置
PAM（Pluggable Authentication Modules）是Linux用于处理身份验证的模块系统。你可以在这里添加规则，限制特定用户或组使用 passwd 命令。
-
编辑 PAM 配置文件：
sudo vi /etc/pam.d/passwd
-
添加如下行以禁止某个用户组修改密码：
-
创建 /etc/passwd.access 文件，并添加限制规则：
-:ALL EXCEPT wheel: ALL
这样配置后，只有属于 wheel 组的用户才能使用 passwd 命令，其他用户则会被拒绝。
这种方式的好处是可以灵活控制不同用户或组的权限，适合多用户环境下的统一管理。
使用sudoers限制普通用户执行passwd权限
默认情况下，任何用户都可以运行 passwd 来修改自己的密码。如果你希望只有特定用户才能执行此命令，可以结合 sudo 和 visudo 来限制。
-
编辑 sudoers 文件：
sudo visudo
-
添加如下规则，只允许 admin 组用户使用 passwd：
%admin ALL=(ALL) /usr/bin/passwd
-
移除其他用户的执行权限：
sudo chmod o-rx /usr/bin/passwd
这样普通用户即使尝试运行 passwd，也会提示权限不足。而管理员则可以通过 sudo passwd username 来为用户修改密码。
这种方法适用于集中管理密码修改权限的场景，尤其适合企业服务器。
注意事项与建议
- 测试环境先行：在正式环境中应用这些限制之前，最好先在测试系统上验证，避免误操作导致自己也无法修改密码。
- 备份配置文件：修改 /etc/pam.d/passwd 或 /etc/sudoers 前，务必备份原文件，防止配置错误引发问题。
- 考虑替代登录方式：如果用户使用 SSH 密钥登录，即使密码被锁定也不会影响其访问系统，这点需要提前评估。
基本上就这些方法了。虽然不是特别复杂，但在实际操作中容易忽略细节，特别是权限和配置文件的语法问题。只要按照步骤来，就能有效控制用户是否能修改密码。
