{"id":353743,"date":"2024-08-26T10:59:33","date_gmt":"2024-08-26T10:59:33","guid":{"rendered":"https:\/\/www.ninjaone.com\/script-hub\/disabilitare-gli-account-utente-linux\/"},"modified":"2024-10-13T19:07:24","modified_gmt":"2024-10-13T19:07:24","slug":"disabilitare-gli-account-utente-linux","status":"publish","type":"script_hub","link":"https:\/\/www.ninjaone.com\/it\/script-hub\/disabilitare-gli-account-utente-linux\/","title":{"rendered":"Guida completa per professionisti IT per disabilitare gli account utente in Linux"},"content":{"rendered":"

La gestione degli account utente \u00e8 un aspetto cruciale dell’amministrazione del sistema, soprattutto quando si tratta di garantire la sicurezza e l’integrit\u00e0 di un ambiente Linux. Disabilitare gli account utente<\/strong> non pi\u00f9 in uso o potenzialmente compromessi \u00e8 una pratica standard tra i professionisti IT e i fornitori di servizi gestiti (MSP)<\/a>.<\/p>\n

In questo articolo analizzeremo uno script completo progettato per disabilitare gli account utente in Linux, fornendo una spiegazione approfondita della sua funzionalit\u00e0, dei casi d’uso e delle best practice correlate.<\/p>\n

Capire l’importanza della gestione degli account utente<\/h2>\n

In qualsiasi infrastruttura IT, la gestione degli account utente \u00e8 fondamentale per mantenere la sicurezza<\/a> e l’efficienza<\/a> operativa. L’accesso non autorizzato o l’uso improprio degli account utente pu\u00f2 portare a violazioni dei dati, perdita di informazioni sensibili e potenziali interruzioni del sistema. Pertanto, disabilitare gli account utente inattivi o compromessi \u00e8 una misura proattiva per salvaguardare il sistema.<\/p>\n

Il background dello script per disabilitare gli account utente in Linux<\/h2>\n

Lo script che stiamo esaminando \u00e8 progettato per disabilitare un account utente specificato, cambiando la sua shell di login in \/sbin\/nologin e bloccando l’account. Questo processo impedisce all’utente di accedere, conservando l’account per una potenziale riattivazione o per scopi di verifica. Questo approccio \u00e8 preferibile all’eliminazione totale, in quanto mantiene intatta la cronologia dell’account e i file correlati.<\/p>\n

Lo script per disabilitare gli account utente in Linux:<\/h2>\n
#!\/usr\/bin\/env bash\r\n\r\n# Description: Disables a user account by changing its shell to \/sbin\/nologin and locking the account.\r\n#\r\n# Release Notes: Initial Release\r\n# By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https:\/\/www.ninjaone.com\/terms-of-use.\r\n# Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. \r\n# Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. \r\n# Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. \r\n# Warranty Disclaimer: The script is provided \u201cas is\u201d and \u201cas available\u201d, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. \r\n# Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. \r\n# Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. \r\n# EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).\r\n#\r\n# Below are all the valid parameters for this script.\r\n#\r\n# Preset Parameter: \"ReplaceMeWithUsernameToDisable\"\r\n#   Username of the user you would like to disable.\r\n#\r\n\r\n# Help text function for when invalid input is encountered\r\nprint_help() {\r\n  printf '\\n### Below are all the valid parameters for this script. ###\\n'\r\n  printf '\\nPreset Parameter: \"ReplaceMeWithUsernameToDisable\" \\n'\r\n  printf '\\t%s\\n' \"Username of the user you would like to disable.\"\r\n}\r\n\r\n# Determines whether or not help text is nessessary and routes the output to stderr\r\ndie() {\r\n  local _ret=\"${2:-1}\"\r\n  echo \"$1\" >&2\r\n  test \"${_PRINT_HELP:-no}\" = yes && print_help >&2\r\n  exit \"${_ret}\"\r\n}\r\n\r\n_arg_userToDisable=\r\n\r\n# Grabbing the parameters and parsing through them.\r\nparse_commandline() {\r\n  while test $# -gt 0; do\r\n    _key=\"$1\"\r\n    case \"$_key\" in\r\n    --help | -h)\r\n      _PRINT_HELP=yes die 0\r\n      ;;\r\n    --*)\r\n      _PRINT_HELP=yes die \"FATAL ERROR: Got an unexpected argument '$1'\" 1\r\n      ;;\r\n    *)\r\n      if [[ -z $_arg_userToDisable ]]; then\r\n        _arg_userToDisable=$1\r\n      else\r\n        _PRINT_HELP=yes die \"FATAL ERROR: Got an unexpected argument '$1' but user '$_arg_userToDisable' was already specified!\" 1\r\n      fi\r\n      ;;\r\n    esac\r\n    shift\r\n  done\r\n}\r\n\r\n# Parse the command-line arguments passed to the script.\r\nparse_commandline \"$@\"\r\n\r\nif [[ -n $usernameToDisable ]]; then\r\n  _arg_userToDisable=\"$usernameToDisable\"\r\nfi\r\n\r\n# Check if the username to disable is empty and display an error if it is.\r\nif [[ -z $_arg_userToDisable ]]; then\r\n  _PRINT_HELP=yes die \"[Error] The username of the user you would like to disable is required!'\" 1\r\nfi\r\n\r\n# Validate the username to ensure it only contains lowercase letters, digits, hyphens, and underscores.\r\nif [[ ! $_arg_userToDisable =~ ^[a-z0-9_-]+$ ]]; then\r\n  _PRINT_HELP=no die \"[Error] Invalid characters detected in '$_arg_userToDisable' usernames can only have a-z, 0-9 or -, _ characters!\" 1\r\nfi\r\n\r\n# Search for the user in the \/etc\/passwd file and ensure the user account is not already set to 'nologin'.\r\npasswdEntry=$(grep -w \"$_arg_userToDisable\" \/etc\/passwd)\r\nif [[ -z $passwdEntry ]]; then\r\n  _PRINT_HELP=no die \"[Error] User '$_arg_userToDisable' does not exist.\" 1\r\nfi\r\n\r\nunlockedaccount=$(passwd -S \"$_arg_userToDisable\" | cut -f2 -d \" \" | grep -v \"L\")\r\nnologin=$(grep -w \"$_arg_userToDisable\" \/etc\/passwd | cut -d \":\" -f7 | grep \"nologin\")\r\nif [[ -z $unlockedaccount && -n $nologin ]]; then\r\n  _PRINT_HELP=no die \"[Error] User '$_arg_userToDisable' is already disabled. $nologin\" 1\r\nfi\r\n\r\n# Check if the 'sudo' command is available on the system.\r\nsudoAvailable=$(command -v sudo)\r\n\r\n# If 'sudo' is available, check if the specified user has sudo privileges and is not explicitly forbidden from using sudo.\r\nif [[ -n $sudoAvailable ]]; then\r\n  sudoAccess=$(sudo -l -U \"$_arg_userToDisable\" | grep -v \"is not allowed to run sudo\")\r\nfi\r\n\r\n# Initialize a flag to check for the availability of another administrative user.\r\nanotherAdminAvaliable=false\r\n\r\n# If the user to disable is 'root' or if they have sudo access, proceed to check for other admin users.\r\nif [[ \"$_arg_userToDisable\" == \"root\" || -n $sudoAccess ]]; then\r\n # Fetch all user accounts with UID >= 1000 (typically regular users) and exclude the specified user and 'nobody'.\r\n  allAccounts=$(cut -d \":\" -f1,3 \/etc\/passwd | grep -v -w \"$_arg_userToDisable\" | grep -v \"nobody\" | awk -F ':' '$2 >= 1000 {print $1}')\r\n\r\n  # If the user to disable is not 'root', add 'root' to the list of all accounts if it is enabled and not set to 'nologin'.\r\n  if [[ ! \"$_arg_userToDisable\" == \"root\" ]]; then\r\n    enabled=$(grep -w \"root\" \/etc\/passwd | grep -v \"nologin\")\r\n    if [[ -n $enabled ]]; then\r\n      allAccounts=$(echo \"$allAccounts\"; echo \"root\")\r\n    fi\r\n  fi\r\n\r\n  # Iterate over each account to check if there are other admin users available.\r\n  for account in $allAccounts; do\r\n    # Skip checking accounts if 'sudo' is not available.\r\n    if [[ -z $sudoAvailable ]]; then\r\n      continue\r\n    fi\r\n\r\n    # Check if the current account has sudo access.\r\n    sudoAccess=$(sudo -l -U \"$account\" | grep -v \"is not allowed to run sudo\")\r\n    if [[ -z $sudoAccess ]]; then\r\n      continue\r\n    fi\r\n\r\n    # Check if the current account is enabled (i.e., not set to 'nologin').\r\n    accountEnabled=$(grep -w \"$account\" \/etc\/passwd | grep -v \"nologin\")\r\n    if [[ -z $accountEnabled ]]; then\r\n      continue\r\n    fi\r\n\r\n    # If an admin account is available and enabled, set the flag to true.\r\n    anotherAdminAvaliable=\"true\"\r\n  done\r\n\r\n  # If no other admin users are available, output an error and suggest creating another admin account.\r\n  if [[ $anotherAdminAvaliable == \"false\" ]]; then\r\n    _PRINT_HELP=no die \"[Error] No other admins available. Please create another account to administer the system.\" 1\r\n  fi\r\nfi\r\n\r\n# Attempt to change the shell of the user to \/sbin\/nologin to disable login capabilities.\r\nif ! usermod \"$_arg_userToDisable\" -s \/sbin\/nologin; then\r\n  _PRINT_HELP=no die \"[Error] Failed to change the shell for '$_arg_userToDisable' to \/sbin\/nologin.\" 1\r\nfi\r\n\r\n# Attempt to lock the user account using usermod.\r\nif ! usermod -L \"$_arg_userToDisable\"; then\r\n  _PRINT_HELP=no die \"[Error] Failed to lock '$_arg_userToDisable' using usermod.\" 1\r\nfi\r\n\r\n# Check if the user has been successfully disabled by confirming 'nologin' is set.\r\ndisabledUser=$(grep -w \"$_arg_userToDisable\" \/etc\/passwd | grep \"nologin\")\r\nif [[ -n $disabledUser ]]; then\r\n  echo \"Successfully disabled '$_arg_userToDisable'.\"\r\nelse\r\n  _PRINT_HELP=no die \"[Error] Failed to disable '$_arg_userToDisable'.\" 1\r\nfi\r\n<\/pre>\n
 <\/p>\n\n
<\/h2>
<\/p><\/div>
<\/a><\/div><\/div>\n
Analisi dettagliata dello script per disabilitare gli account utente in Linux<\/h2>\n
Impostazione iniziale e parsing dei parametri<\/em><\/h3>\n
Lo script per disabilitare gli account utente in Linux inizia con la definizione di una funzione di testo di aiuto (print_help) e di una die per gestire gli errori e visualizzare i relativi messaggi. La funzione parse_commandline elabora gli argomenti della riga di comando per identificare il nome utente dell’account da disattivare.<\/p>\n
Convalida dell’account utente<\/em><\/h3>\n
Lo script per disabilitare gli account utente in Linux controlla quindi se il nome utente specificato \u00e8 valido ed esiste nel sistema. Si assicura che il nome utente contenga solo i caratteri consentiti (lettere minuscole, cifre, trattini e trattini bassi) e ne verifica l’esistenza nel file \/etc\/passwd.<\/p>\n
Garantire l’assenza di conflitti con gli account di amministrazione<\/em><\/h3>\n
Lo script per disabilitare gli account utente in Linux controlla inoltre se l’utente da disabilitare ha privilegi amministrativi. Verifica se ci sono altri account di amministrazione disponibili per evitare di bloccare l’accesso amministrativo essenziale.<\/p>\n
Disabilitazione dell’account utente<\/em><\/h3>\n
Infine, lo script disabilita l’account utente cambiando la shell in \/sbin\/nologin e bloccando l’account. Verifica il successo di queste operazioni e fornisce un feedback.<\/p>\n
Casi d’uso potenziali<\/h2>\n
Immagina uno scenario in cui un professionista IT deve disabilitare un account per un dipendente che ha lasciato l’azienda. Lo script per disabilitare gli account utente in Linux fornisce un metodo rapido ed efficiente per garantire che l’account venga disabilitato ma non eliminato. Ci\u00f2 consente al team IT di conservare i dati e la cronologia dell’account dell’utente ai fini della conformit\u00e0 e della revisione.<\/p>\n
Confronto con altri metodi<\/h2>\n
L’approccio tradizionale per disabilitare un account utente pu\u00f2 comportare la modifica manuale del file \/etc\/passwd o l’esecuzione di pi\u00f9 comandi. Questo script automatizza il processo per disabilitare gli account utente in Linux, riducendo il rischio di errore umano e garantendo la coerenza tra i diversi sistemi.<\/p>\n
Domande frequenti<\/h2>\n
D: Questo script per disabilitare gli account utente in Linux pu\u00f2 eliminare un account utente?<\/h3>\n
R: No, lo script disabilita l’account solo cambiando la shell e bloccandolo. L’eliminazione di un account richiederebbe ulteriori comandi.<\/p>\n
D: \u00c8 sicuro disabilitare l’account di root?<\/h3>\n
R: Disabilitare un account root pu\u00f2 rendere il sistema ingestibile. Lo script per disabilitare gli account utente in Linux include controlli per verificare che sia disponibile un altro account amministratore prima di procedere.<\/p>\n
D: Cosa succede se l’account utente \u00e8 gi\u00e0 disabilitato?<\/h3>\n
R: Lo script per disabilitare gli account utente in Linux controlla lo stato dell’account e notifica se l’account \u00e8 gi\u00e0 disabilitato, evitando operazioni ridondanti.<\/p>\n
Implicazioni per la sicurezza informatica<\/h2>\n
Disabilitare gli account utente inattivi o compromessi \u00e8 una misura di sicurezza fondamentale. Riduce la superficie di attacco e impedisce l’accesso non autorizzato, migliorando cos\u00ec la sicurezza generale dell’organizzazione.<\/p>\n
Raccomandazioni<\/h2>\n
Quando utilizzi questo script per disabilitare gli account utente in Linux, assicurati:<\/p>\n