NixOS配置疑问：将Python脚本设为特定用户登录Shell遇类型错误

问题原因 #

NixOS的users.users.<name>.shell字段要求传入单个可执行文件的绝对路径，不能直接带命令参数，所以你写的"python3 /usr/local/share/pyadm/main.py"会触发类型错误。

两种可行解决方法 #

方法1：用Nix生成包装脚本

通过pkgs.writeScript创建一个无参数的可执行脚本，让它间接调用你的Python程序。这样既满足shell字段的要求，又能执行目标脚本：

users.users.pyadm = {
  isNormalUser = false;
  # 生成包装脚本作为登录Shell
  shell = pkgs.writeScript "pyadm-shell" ''
    #!/usr/bin/env bash
    # 用exec替换当前进程，避免残留bash进程
    exec python3 /usr/local/share/pyadm/main.py "$@"
  '';
  # 安全配置：禁用密码登录
  password = "*";
  # 不给额外权限
  extraGroups = [];
};

方法2：将Python脚本设为可执行Shell

直接修改你的Python脚本，添加shebang头并赋予执行权限，然后将其路径设为用户的登录Shell：

1. 在main.py开头添加shebang：

#!/usr/bin/env python3
# 你的Python脚本内容

2. 在Nix配置中确保脚本有执行权限，并设置为用户Shell：

users.users.pyadm = {
  isNormalUser = false;
  shell = "/usr/local/share/pyadm/main.py";
  password = "*";
  extraGroups = [];
};

# 确保脚本文件有执行权限（如果是通过Nix部署脚本）
environment.etc."pyadm/main.py" = {
  source = ./path/to/your/main.py;
  mode = "0755";
};

额外安全配置建议 #

• 彻底禁用root远程登录：

services.openssh.permitRootLogin = "no";

• 限制pyadm用户仅通过SSH密钥登录：

users.users.pyadm.openssh.authorizedKeys.keys = [
  "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC..." # 替换为你的公钥
];

• 确保pyadm用户不具备sudo权限，不要加入wheel组。

内容的提问来源于stack exchange，提问作者terraquad