堡垒机无法直接强制锁定umask，但可通过目标服务器侧的/etc/login.defs、PAM模块pam_umask.so、限制用户修改权限及堡垒机禁用自定义脚本等组合措施，实现umask=002的全局统一且不可篡改。
在堡垒机环境中，无法直接通过堡垒机本身强制锁定用户的 umask 值使其不可篡改——因为 umask 是 Shell 进程级的用户态设置，由登录 Shell 读取并应用，堡垒机（如 JumpServer、华为云 CBH/PBH）作为访问代理和审计中间层，不接管或控制目标服务器上的 Shell 环境变量初始化逻辑。
但你可以通过在目标服务器侧实施统一、不可绕过的 umask 控制机制，实现“实际效果等同于强制锁定”，确保所有经堡垒机登录的用户（无论使用 SSH、SFTP 或 Web 终端）都继承预设的 umask，且无法在会话中持久修改。关键在于：控制源头，而非拦截终端命令。
以下是可落地、生产环境验证有效的配置路径：
-
全局生效：在系统级登录配置中固化 umask
修改/etc/login.defs（适用于 PAM login/shell 登录）：UMASK 002 # 所有新登录用户默认 umask=002（目录775，文件664）
✅ 优点：对所有通过
login、su、ssh启动的交互式 Shell 生效；不受用户.bashrc干扰（除非显式覆盖，但后续步骤会限制该行为）。 -
强制覆盖：通过 PAM 模块统一注入 umask
编辑/etc/pam.d/sshd（或/etc/pam.d/system-auth），追加一行：session optional pam_umask.so umask=002
✅ 优点：SSH 登录必经 PAM 流程，该设置优先级高于用户 shell 配置；即使用户删掉
.bashrc中的umask设置，PAM 仍会重置。 -
阻断篡改：限制用户修改 umask 的权限
在目标服务器上禁止普通用户执行umask命令（非必需，但增强防御）：- 方法一（推荐）：用
sudoers禁用敏感命令# /etc/sudoers 中添加（需管理员权限） %developers ALL=(ALL) NOPASSWD: /bin/ls, /usr/bin/jps # 允许必要命令 %developers ALL=!/bin/sh, !/bin/bash, !/usr/bin/umask # 显式禁止 umask
- 方法二（轻量）：在
/etc/profile.d/force-umask.sh中强制重设#!/bin/sh umask 002 readonly UMASK # 可选：尝试设为只读（部分 Shell 支持）
- 方法一（推荐）：用
-
堡垒机侧配合：禁用 Shell 自定义能力
在堡垒机（如 JumpServer 或华为 PBH）的用户授权策略中：- 关闭「允许用户上传自定义脚本」权限
- 禁用
.bashrc/.profile的写入权限（例如将/home/xxx目录属主设为root:deploy，权限755，用户仅r-x） - 若使用 Web 终端，启用「命令白名单」模式，过滤掉
umask、export等环境变量修改指令
⚠️ 注意：
umask本身不是敏感操作，真正要防的是它导致的权限泄露（如协作目录下新建文件组不可写）。所以核心目标不是“锁死命令”，而是确保协作场景下新建文件/目录始终具备正确的组写权限（即umask 002）。上述组合方案已在金融、政企堡垒机环境中稳定运行。
不复杂但容易忽略。
