在CentOS系统运维过程中，限制普通用户对系统配置的更改是保障服务器稳定与安全的重要手段。通过合理的权限划分、sudo规则配置以及关键文件保护，可以让用户拥有必要操作能力的同时无法破坏系统级设置。
使用用户组控制配置访问
第一步是建立独立的用户组，将允许进行部分系统管理的用户放入该组，而其他用户保持普通权限。这样可以从结构上隔离配置修改能力。
# 创建名为 sysadmin 的组 groupadd sysadmin # 将用户 tom 加入该组 usermod -aG sysadmin tom
配置sudoers限制命令范围
CentOS使用sudo机制临时提升权限。通过/etc/sudoers文件可精确控制用户或组能执行哪些命令。务必使用visudo命令编辑，避免语法错误导致无法使用sudo。
# 使用 visudo 安全编辑 visudo # 在文件末尾添加如下规则，允许 sysadmin 组重启网络服务，但禁止编辑配置文件 %sysadmin ALL=(root) /usr/bin/systemctl restart network, /usr/bin/systemctl status network
上述规则中，sysadmin组仅能执行网络重启与状态查看，不能运行vim或编辑/etc下的配置，从而限制其对系统配置的更改。
锁定关键配置文件
对于核心配置如/etc/resolv.conf，除了权限设置外，还可使用chattr添加不可修改属性，防止任何用户（包括root）误改。
# 修改文件权限，仅root可写 chown root:root /etc/resolv.conf chmod 644 /etc/resolv.conf # 添加不可变属性 chattr +i /etc/resolv.conf # 如需修改，先解除属性 chattr -i /etc/resolv.conf
通过目录权限约束配置目录
系统配置多位于/etc目录。可针对子目录设置组所有权与权限，让指定组可读但不可写。
| 目录 | 建议权限 | 说明 |
|---|---|---|
| /etc/sysconfig | 750 | root拥有，sysadmin可读可执行 |
| /etc/ssh | 644 | 配置文件仅root可改 |
使用如下命令调整：
chown -R root:sysadmin /etc/sysconfig chmod 750 /etc/sysconfig
总结
限制CentOS用户对系统配置的更改，核心在于组管理、sudoers精细授权和文件属性保护三者结合。管理员应根据实际业务划分权限，并定期审计sudo日志与文件属性，确保限制策略持续有效。