高安全环境需四层禁用Ctrl+Alt+Del：一、systemd层屏蔽target并设HandleKeyCombination=ignore；二、内核层禁用ctrl-alt-del和sysrq；三、init层注释inittab相关行并重载；四、物理层关闭KVM热键透传及BIOS USB热键。
在高安全或生产环境中，Ctrl+Alt+Del 组合键必须禁用——它不是“小功能”，而是可能直接触发重启、登出或内核级响应的高危通路。单一配置容易被绕过，需从 systemd 层、内核层、初始化配置和物理接入面四方面同步阻断。
systemd 系统：屏蔽 target 并忽略热键事件
现代 Linux（CentOS 8+/RHEL 8+/Ubuntu 20.04+）默认将 Ctrl+Alt+Del 映射到 ctrl-alt-del.target，该 target 通常软链接至 reboot.target。仅改 logind.conf 不足以覆盖所有路径：
- 执行 sudo systemctl mask -f ctrl-alt-del.target：强制创建指向
/dev/null的符号链接，使该 target 永久不可激活 - 编辑 /etc/systemd/logind.conf，取消注释并设为 HandleKeyCombination=ignore
- 重载配置并重启服务：sudo systemctl daemon-reload && sudo systemctl restart systemd-logind
内核与 init 层：切断底层重启能力
当系统处于紧急模式、KVM 控制台直连或无图形环境时，systemd 可能未接管控制权，此时需加固内核与 init 行为：
- 禁用内核级 Ctrl+Alt+Del 响应：echo 'kernel.ctrl-alt-del = 0' | sudo tee -a /etc/sysctl.conf && sudo sysctl -p
- 关闭 SysRq 功能（防 Alt+SysRq+B 强制重启）：echo 'kernel.sysrq = 0' | sudo tee -a /etc/sysctl.conf && sudo sysctl -p
- 若存在 /etc/inittab（如 CentOS 6 或兼容模式），确认含
ca::ctrlaltdel:的行已被注释或删除，并运行 sudo init q 重载
跨环境实测验证是否真正生效
配置完成后，不能只在桌面环境下测试。必须覆盖全部用户交互入口：
- 切换至 TTY（Ctrl+Alt+F2），按下 Ctrl+Alt+Del —— 应完全无反应（不闪屏、不登出、不写日志）
- 在 GDM/LightDM 登录界面尝试 —— 不应唤出 SAS、锁屏菜单或任何提示
- 检查状态：systemctl is-enabled ctrl-alt-del.target 应返回
masked；loginctl show --property=HandleKeyCombination 应显示ignore；sysctl kernel.ctrl-alt-del kernel.sysrq 输出值均应为0
配套物理与策略加固建议
技术配置只是起点，高安全环境还需降低物理暴露面：
- 对 KVM/串口管理设备，关闭其本地快捷键透传功能（参考厂商手册禁用 “Hotkey Passthrough”）
- 在 BIOS/UEFI 中禁用 USB 键盘热键支持（部分服务器主板提供 “USB Keyboard Hotkey Support” 选项）
- 若部署于无人值守机房，建议搭配物理键盘锁或移除非必要外设接口
