Как отключить пользователя?

Закоментируй строку символом «#» либо в качестве командной оболочки поставить «/bin/false».

установить шел пользователю /bin/nologin или /bin/false

Это ручным редактированием /etc/passwd делается или есть команда?

Для ценителей:

cp /etc/passwd /tmp/passwd && \
awk 'BEGIN {OFS=FS=":"} {if ($1 == "<username>") $7 = "/bin/false"} {print}' /tmp/passwd > /tmp/passwd_new &&\
cat /tmp/passwd_new &&\
sudo cp -i /tmp/passwd_new /etc/passwd

чтобы под пользователем был невозможен интерактивный вход

сменить шелл на /bin/nologin

и выполнение любого процесса

а это невозможно, т. к. пользователь — это прежде всего его UID, а рут может запустить процесс под любым UID.

а это невозможно, т. к. пользователь — это прежде всего его UID, а рут может запустить процесс под любым UID.

А если в /etc/passwd будет закомментирована строка с UID то невозможно?

Ядру начхать на passwd, поэтому «выполнение любого процесса» ты не запретишь.

Правильнее вести разговор о том, как запретить какому-то конкретному средству аутентификации собственно аутентифицировать кого-либо под именем этого пользователя.

Если речь идёт о PAM, то можно добавить во все файлы конфигурации PAM строчку с required pam_succeed_if.so user != тот-кого-запрещаем.

Если речь идёт о классической схеме с passwd/shadow, то можно дописать в начало хеша пароля символ, котого в этом хеше быть не может (например, восклицатель), но опять же рутовый процесс может сменить свой UID на «запрещённый» в любом случае, и никакой passwd/shadow ему не помеха. Пример — sshd и аутентификация по ключам.

Но если цель именно «заставить систему забыть про указанное классическое имя пользователя», то да, достаточно закомментить.

# sudo -u#1337 whoami
whoami: невозможно определить имя пользователя для ID 1337

То есть, от рута процесс запускается с произвольным UID, независимо от его наличия в /etc/passwd.

usermod --expiredate 1 (man passwd)

Если ты имеешь в виду /etc/pam.d - то там их более десятка.
Почему возник этот вопрос - нужно запретить предыдущему админу заходить а сервер, но на нём могут быть сервисы, корректно работающие только из-под этого пользователя.

Сменить шелл на nologin, убрать SSH-ключи, отключить пароль (восклицатель в начало хэша, ну или passwd --lock).

OpenSSH кажется позволяет заблэклистить ключи не удаляя их?

И происходит ровно нихрена полезного - везде в интерфейсе когда спрашивает пароль предлагает в качестве варианта этого типа отключенного пользователя. Задолбали.

Тож склоняюсь к варианту что тупо закомментить в passwd будет гораздо эффективнее.

Не важно. Каким-либо образом отключить.

но на нём могут быть сервисы, корректно работающие только из-под этого пользователя.

Поискать, изменить права, исправить конфиги, удалить пользователя - в голову не приходило? Не такая уж и сложная операция, скорее долгая, но не сложная.