UNIX AIX登录菜单显示及SFTP用户SSH受限功能实现咨询

嘿，作为常年在AIX环境里摸爬滚打的管理员，这两个需求我都实际配置过，给你分享具体的实现方案：

你可以通过修改用户的登录初始化脚本来实现，既可以针对单个用户配置，也可以全局生效（不推荐全局，避免影响管理员账号）。

单个用户配置 #

编辑目标用户的~/.profile文件，在末尾添加菜单逻辑。比如下面这个循环显示的菜单示例：

#!/usr/bin/ksh
while true; do
    clear
    echo "=== AIX系统操作菜单 ==="
    echo "1. 查看系统基础信息"
    echo "2. 检查磁盘使用情况"
    echo "3. 退出登录"
    echo -n "请选择操作选项: "
    read choice

    case $choice in
        1)
            uname -a && lscfg | head -20
            echo -n "操作完成，按回车键回到菜单..."
            read
            ;;
        2)
            df -g
            echo -n "操作完成，按回车键回到菜单..."
            read
            ;;
        3)
            echo "再见！"
            exit 0
            ;;
        *)
            echo "无效选项，请重新选择"
            echo -n "按回车键回到菜单..."
            read
            ;;
    esac
done

保存后，该用户下次登录时就会自动弹出这个菜单，无法直接进入常规shell（除非退出菜单）。

全局配置（谨慎使用） #

如果要给所有用户添加登录菜单，编辑/etc/profile文件，把上述菜单代码添加到文件末尾即可。但注意不要影响root等管理员账号的正常操作，建议通过条件判断只给普通用户显示菜单：

if [ "$USER" != "root" ]; then
    # 上面的菜单循环代码放在这里
fi

要实现这个需求，核心是把用户的登录shell替换为自定义的菜单脚本，这样用户登录SSH后直接进入菜单，无法执行其他任意命令。

步骤1：创建自定义受限菜单脚本 #

新建一个脚本文件，比如/usr/local/bin/restricted_task_menu.sh，内容如下（包含你需要的重置用户、修改密码选项）：

#!/usr/bin/ksh
# 先给脚本添加执行权限：chmod 755 /usr/local/bin/restricted_task_menu.sh

while true; do
    clear
    echo "=== 受限任务菜单 ==="
    echo "1. 修改自身密码"
    echo "2. 重置指定用户密码"
    echo "3. 退出登录"
    echo -n "请选择选项: "
    read opt

    case $opt in
        1)
            echo "正在修改你的密码..."
            passwd
            echo -n "操作完成，按回车键回到菜单..."
            read
            ;;
        2)
            # 注意：需要提前给该用户配置sudo权限，允许执行passwd命令
            echo -n "请输入要重置密码的用户名: "
            read target_user
            sudo passwd $target_user
            echo -n "操作完成，按回车键回到菜单..."
            read
            ;;
        3)
            echo "退出登录..."
            exit 0
            ;;
        *)
            echo "无效选项，请重新选择"
            echo -n "按回车键回到菜单..."
            read
            ;;
    esac
done

步骤2：修改用户的登录shell #

使用chsh命令把目标用户的默认shell替换为这个自定义脚本：

chsh -s /usr/local/bin/restricted_task_menu.sh 目标用户名

步骤3：配置sudo权限（针对重置用户功能） #

如果菜单包含“重置指定用户密码”的功能，需要给该用户配置sudo权限，允许其执行passwd命令。用visudo命令编辑/etc/sudoers文件（必须用visudo，避免语法错误），添加一行：

目标用户名 ALL=(ALL) NOPASSWD: /usr/bin/passwd [a-zA-Z0-9]*

这行配置允许该用户无需输入密码，执行passwd命令修改任何符合命名规则的用户密码。

关键注意事项 #

• 确保自定义菜单脚本的属主为root，权限设置为755（只读给其他用户），防止用户篡改脚本内容。
• 测试时用目标用户登录SSH，验证是否只能看到菜单，无法跳出进入常规shell。如果发现用户能通过某些方式绕过菜单，可以在脚本开头添加限制，比如设置readonly PATH，禁用exec等危险命令。

内容的提问来源于stack exchange，提问作者Eng Al-Rawabdeh