可通过passwd、usermod、pam_tally2或手动编辑/etc/shadow文件锁定Linux用户账户，分别用于临时禁用、属性修改、失败登录控制及直接认证阻止。
如果您需要限制某个用户对系统的访问权限，可以通过锁定该用户的账户来实现。这在系统维护、安全控制或员工离职等场景中非常有用。以下是几种在Linux系统中锁定用户账户的方法：
本文运行环境：Dell XPS 13，Ubuntu 22.04
一、使用 passwd 命令锁定账户
passwd 命令不仅可以用于修改用户密码，还可以用来锁定和解锁用户账户。其原理是通过禁用用户的密码认证功能，使用户无法通过密码登录系统。
1、打开终端，以 root 用户或具有 sudo 权限的用户身份登录。
2、执行以下命令锁定目标用户（将 username 替换为实际用户名）：
sudo passwd -l username
3、验证账户是否已锁定，可尝试切换到该用户：
su - username
二、使用 usermod 命令锁定账户
usermod 命令用于修改用户账户属性，通过设置特定选项可以实现账户锁定。该方法通过在密码字段前添加特定符号来阻止密码验证通过。
1、在终端中输入以下命令：
sudo usermod -L username
2、确认操作生效，检查 /etc/shadow 文件中对应用户的密码字段是否已添加感叹号：
sudo grep username /etc/shadow
三、使用 pam_tally2 模块进行临时锁定
pam_tally2 是一个基于 PAM 的失败登录计数模块，可用于因多次输入错误密码而自动锁定账户。适用于增强系统安全性，防止暴力破解攻击。
1、确保系统已安装 pam_tally2 工具包。
2、编辑 PAM 配置文件以启用失败计数：
sudo vim /etc/pam.d/common-auth
3、添加如下行以设置连续5次失败后锁定账户：
auth required pam_tally2.so deny=5 unlock_time=900
四、手动编辑 /etc/shadow 文件锁定账户
直接修改 /etc/shadow 文件可以在密码哈希值前插入特殊字符，从而阻止用户登录。此方法绕过所有高级命令，直接作用于系统核心认证文件。
1、备份原始 shadow 文件：
sudo cp /etc/shadow /etc/shadow.bak
2、使用 vipw 命令安全编辑 shadow 文件：
sudo vipw -s
3、找到目标用户所在行，在密码字段前添加 ! 或 * 符号。
