Linux密码策略如何配置_Linux密码策略配置的详细指南

答案：Linux密码策略通过PAM模块和配置文件设置密码复杂度、有效期、重复使用限制及账户锁定规则，提升系统安全。具体包括：1. 配置pam_pwquality.so实现最小长度8位、含大小写字母、数字、特殊字符，允许输错3次；2. 修改/etc/login.defs设置密码最长使用90天、最短7天后可改、到期前7天提醒，已有用户用chage命令调整；3. PAM中启用remember=5防止重复使用最近5次密码；4. 使用pam_tally2.so实现登录失败5次锁定账户15分钟，支持root账户；5. 通过passwd、chage命令及日志文件验证策略生效。操作前需备份配置文件，避免误配导致锁定。

Linux系统的密码策略配置是保障系统安全的重要环节。通过合理设置密码复杂度、有效期、失败尝试限制等规则，能有效防止暴力破解和弱口令带来的风险。以下是Linux密码策略配置的详细指南，适用于主流发行版如CentOS、RHEL、Ubuntu等。

1. 配置密码复杂度要求

密码复杂度由PAM（Pluggable Authentication Modules）模块控制，主要通过pam_pwquality（旧版本为pam_cracklib）实现。

编辑配置文件：

sudo vi /etc/pam.d/common-password（Ubuntu） sudo vi /etc/pam.d/system-auth（RHEL/CentOS）

添加或修改如下行：

password requisite pam_pwquality.so retry=3 minlen=8 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1

参数说明：

• retry=3：允许输错3次
• minlen=8：最小长度为8位
• ucredit=-1：至少包含1个大写字母
• lcredit=-1：至少包含1个小写字母
• dcredit=-1：至少包含1个数字
• ocredit=-1：至少包含1个特殊字符

也可将策略写入/etc/security/pwquality.conf中统一管理。

2. 设置密码有效期

通过/etc/login.defs文件控制用户密码的生命周期。

sudo vi /etc/login.defs

修改以下参数：

• PASS_MAX_DAYS 90：密码最长使用90天
• PASS_MIN_DAYS 7：修改密码后至少7天才能再次修改
• PASS_WARN_AGE 7：密码到期前7天开始提醒

注意：这些设置仅对新创建用户生效。要修改已有用户的密码策略，使用命令：

chage -M 90 -m 7 -W 7 username

3. 限制密码重复使用

防止用户循环使用旧密码，提升安全性。

编辑PAM配置文件：

sudo vi /etc/pam.d/system-auth（RHEL/CentOS） sudo vi /etc/pam.d/common-password（Ubuntu）

在pam_pwquality.so行之后添加：

Block Survey

BlockSurvey是一个保护隐私和数据安全调查工具，可以让你使用AI来创建调查表单。

71 查看详情 password sufficient pam_unix.so use_authtok nullok remember=5

其中remember=5表示记住最近5次密码，不允许重复使用。

4. 账户锁定策略（登录失败限制）

防止暴力破解，可通过PAM配置账户锁定机制。

sudo vi /etc/pam.d/common-auth（Ubuntu） sudo vi /etc/pam.d/system-auth（RHEL/CentOS）

添加以下行：

auth required pam_tally2.so deny=5 unlock_time=900 even_deny_root

含义：

• deny=5：连续失败5次锁定账户
• unlock_time=900：900秒（15分钟）后自动解锁
• even_deny_root：root账户也受此规则限制

查看某用户失败次数：

pam_tally2 --user=username

手动解锁用户：

pam_tally2 --user=username --reset

部分系统使用pam_faillock.so，配置方式略有不同。

5. 检查与验证配置

配置完成后，建议进行测试验证。

• 尝试修改密码，检查是否符合复杂度要求
• 使用错误密码登录多次，确认账户是否被锁定
• 运行passwd --status username查看密码状态
• 使用chage -l username查看密码有效期信息

日志排查可查看/var/log/secure或/var/log/auth.log中的认证记录。

基本上就这些。合理配置Linux密码策略能显著提升系统安全性，建议结合组织安全策略定期审查和更新规则。操作时注意备份原始配置文件，避免误配导致无法登录。

以上就是Linux密码策略如何配置_Linux密码策略配置的详细指南的详细内容，更多请关注其它相关文章！