Centos7下关于系统用户密码规则-运维笔记

朱雀 2024-04-19 14:21 87阅读 0赞

针对Centos7下的系统用户的密码规则复杂度的设置，处于安全考虑，说明如下：

**一、设置密码规则**

**1）密码长度、有效期 **  
/etc/login.defs文件是当创建用户时的一些规划，比如创建用户时，是否需要家目录，UID和GID的范围；用户的期限等等，这个文件是可以通过root来定义的。

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 4 5 6 </td> 
 <td> <code>PASS_MAX_DAYS 90 —-两次改变密码之间相距的最大天数，密码有效最大天数</code> <code>PASS_MIN_DAYS 6 —-两次改变密码之间相距的最小天数，为零时代表任何时候都可以更改密码</code> <code>PASS_MIN_LEN 6 —-密码最小长度</code> <code>PASS_WARN_AGE 30 —-在密码过期之前警告的天数</code> &nbsp; <code>注意：以上只对之后新增的用户有效，如果要修改已存在的用户密码规则，需要使用chage命令</code> </td> 
 </tr> 
 </tbody> 
</table>

**2）查看用户的密码规则**

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 </td> 
 <td> <code>Last password change&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : Sep 11, 2018</code> <code>Password expires&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : Sep 30, 2030</code> <code>Password inactive&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : never</code> <code>Account expires&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : never</code> <code>Minimum number of days between password change&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : 6</code> <code>Maximum number of days between password change&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : 90</code> <code>Number of days of warning before password expires&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : 7</code> &nbsp; <code>翻译过来：</code> <code>最近一次密码修改时间 ： 9月 11, 2018</code> <code>密码过期时间 ： 9月 30, 2030</code> <code>密码失效时间 ：从不</code> <code>帐户过期时间 ：从不</code> <code>两次改变密码之间相距的最小天数 ：6</code> <code>两次改变密码之间相距的最大天数 ：90</code> <code>在密码过期之前警告的天数 ：7</code> &nbsp; <code>=============================================================</code> <code>chage是用了修改账户有效期限的命令。</code> <code>注意：不要用该命令给root用户加上有效期，如果密码过期，再加上后文说的</code><code>/etc/shadow</code><code>文件加锁禁止修改，会导致root提示修改密码，</code> <code>无法成功修改密码，从而无法登陆。 如果要修改密码过期时间为</code><code>"从不"</code> &nbsp; <code>修改方法：</code> <code># chage -M 90 -m 6 -W 30 test</code> <code># chage -M 99999 kevin</code> <code># chage -l username&nbsp;&nbsp; 查看系统账户的当前设置</code> <code># chage -M 600 fzwb_word&nbsp;&nbsp; 修改fzwb_word账户密码的有效天数为600天。过了这个天数，账户密码无效</code> <code># chage -E "Jun 16, 2016" fzwb_word&nbsp; 设定fzwb_word账户的具体到期时间。过了这个日期，账户就无效。默认是never&nbsp; （fzwb_word为ftp的账户账户）</code> <code>&nbsp;</code>&nbsp; <code>注意：</code> <code>chage -M&nbsp; 针对的是账户密码过期时间。</code> <code>chage -E&nbsp; 这个命令针对的是账户过期时间</code> <code>&nbsp;</code>&nbsp; <code>设定账户过期时间，除了使用chage -E命令，还可以使用</code><code>usermod</code>&nbsp;<code>-e命令</code> <code># usermod -e "Jun 16, 2016" fzwb_word&nbsp;&nbsp; 设定fzwb_word账户的具体到期时间。默认是never&nbsp; （fzwb_word为ftp的账户账户）</code> <code>&nbsp;</code>&nbsp; <code>下面命令查看， fzwb_word 这个账户的时间到 2015 年 6 月 10 号就到期了！！</code> <code>修改为 2016 月 6 月 16 号到期！</code> <code>[root@kevin ~]</code><code># chage -l fzwb_word</code> <code>Minimum: 0</code> <code>Maximum: 99999</code> <code>Warning: 7</code> <code>Inactive: -1</code> <code>Last Change: Jun 15, 2012</code> <code>Password Expires: Never</code> <code>Password Inactive: Never</code> <code>Account Expires: Jun 10, 2015</code> <code>&nbsp;</code>&nbsp; <code>[root@kevin ~]</code><code># usermod -e "Jun 16, 2016" fzwb_word</code> <code>[root@kevin ~]</code><code># chage -l fzwb_word</code> <code>Minimum: 0</code> <code>Maximum: 99999</code> <code>Warning: 7</code> <code>Inactive: -1</code> <code>Last Change: Jun 15, 2012</code> <code>Password Expires: Never</code> <code>Password Inactive: Never</code> <code>Account Expires: Jun 16, 2016</code> <code>&nbsp;</code>&nbsp; <code>--------------------------------------------------------------------------------</code> <code>可以使用chage命令来手动修改账户的相关属性：</code> <code>格式：chage [选项] 账户名</code> <code>&nbsp;</code>&nbsp; <code>[选项]</code> <code>-m：密码可更改的最小天数。为零时代表任何时候都可以更改密码。</code> <code>-M：密码保持有效的最大天数。</code> <code>-w：账户密码到期前，提前收到警告信息的天数。</code> <code>-E：帐号到期的日期。过了这天，此帐号将不可用。</code> <code>-d：上一次更改的日期。</code> <code>-i：停滞时期。如果一个密码已过期这些天，那么此帐号将不可用。</code> <code>-l：例出当前的设置。由非特权账户来确定他们的密码或帐号何时过期。</code> <code>&nbsp;</code>&nbsp; <code>实例如下：</code> <code>[root@kevin ~]</code><code># chage -l wangshibo</code> <code>Last password change&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : Mar 09, 2017&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>//</code><code>账户创建时间</code> <code>Password expires&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : Aug 30, 2022&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>//</code><code>账户密码过期时间</code> <code>Password inactive&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : never</code> <code>Account expires&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : never&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>//</code><code>账户过期时间</code> <code>Minimum number of days between password change&nbsp;&nbsp;&nbsp; : 0</code> <code>Maximum number of days between password change&nbsp;&nbsp;&nbsp; : 2000</code> <code>Number of days of warning before password expires : 7</code> <code>&nbsp;</code>&nbsp; <code>[root@kevin ~]</code><code># usermod -e "Jun 16, 2018" wangshibo</code> <code>&nbsp;</code>&nbsp; <code>[root@kevin ~]</code><code># chage -l wangshibo</code> <code>Last password change&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : Mar 09, 2017</code> <code>Password expires&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : Aug 30, 2022</code> <code>Password inactive&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : never</code> <code>Account expires&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : Jun 16, 2018&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code> <code>Minimum number of days between password change&nbsp;&nbsp;&nbsp; : 0</code> <code>Maximum number of days between password change&nbsp;&nbsp;&nbsp; : 2000</code> <code>Number of days of warning before password expires : 7</code> <code>&nbsp;</code>&nbsp; <code>[root@kevin ~]</code><code># chage -M 20 wangshibo</code> <code>&nbsp;</code>&nbsp; <code>[root@kevin ~]</code><code># chage -l wangshibo</code> <code>Last password change&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : Mar 09, 2017</code> <code>Password expires&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : Mar 29, 2017&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code> <code>Password inactive&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : never</code> <code>Account expires&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : Jun 16, 2018</code> <code>Minimum number of days between password change&nbsp;&nbsp;&nbsp; : 0</code> <code>Maximum number of days between password change&nbsp;&nbsp;&nbsp; : 20</code> <code>Number of days of warning before password expires : 7</code> <code>&nbsp;</code>&nbsp; <code>[root@kevin ~]</code><code># chage -E "Jun 2, 2020" wangshibo</code> <code>&nbsp;</code>&nbsp; <code>[root@kevin ~]</code><code># chage -l wangshibo</code> <code>Last password change&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : Mar 09, 2017</code> <code>Password expires&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : Mar 29, 2017</code> <code>Password inactive&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : never</code> <code>Account expires&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; : Jun 02, 2020</code> <code>Minimum number of days between password change&nbsp;&nbsp;&nbsp; : 0</code> <code>Maximum number of days between password change&nbsp;&nbsp;&nbsp; : 20</code> <code>Number of days of warning before password expires : 7</code> </td> 
 </tr> 
 </tbody> 
</table>

**3) 设置密码过期的天数。** 用户必须在几天内更改密码。 此设置仅在创建用户时才会产生影响，而不会影响到现有用户。 如果设置为现有用户，请运行命令"chage -M（days）（user）"

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># vim /etc/login.defs</code> <code># line 25: set 60 for Password Expiration</code> <code>PASS_MAX_DAYS 60</code> </td> 
 </tr> 
 </tbody> 
</table>

**4）设置可用密码的最短天数**。 至少在改变它之后，用户必须至少使用他们的密码。 此设置仅在创建用户时才会产生影响，而不会影响到现有用户。 如果设置为现有用户，请运行命令"chage -m（days）（user）"

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># vim /etc/login.defs</code> <code># line 26: set 2 for Minimum number of days available</code> <code>PASS_MIN_DAYS 2</code> </td> 
 </tr> 
 </tbody> 
</table>

**5）在到期前设置警告的天数。** 此设置仅在创建用户时才会产生影响，而不会影响到现有用户。 如果设置为存在用户，请运行命令"chage -W（days）（user）"

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># vim /etc/login.defs</code> <code># line 28: set 7 for number of days for warnings</code> <code>PASS_WARN_AGE 7</code> </td> 
 </tr> 
 </tbody> 
</table>

**6）5次更改密码不能有重复(即最近5次使用过的密码就不能再用作新密码了)，并且每次修改密码都会将历史密码记录在/etc/security/opasswd文件中**

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># vim /etc/pam.d/system-auth</code> <code># near line 15: prohibit to use the same password for 5 generation in past</code> <code>password&nbsp;&nbsp;&nbsp;&nbsp; sufficient&nbsp;&nbsp;&nbsp;&nbsp; pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5</code> </td> 
 </tr> 
 </tbody> 
</table>

**7）设置最小密码长度。 用户不能将密码长度设置为小于此参数**

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># authconfig --passminlen=8 --update</code> <code>[root@kevin ~]</code><code># grep "^minlen" /etc/security/pwquality.conf</code> <code>minlen = 8</code> </td> 
 </tr> 
 </tbody> 
</table>

**8）为新密码设置所需的最少字符类数**（种类⇒大写字母/小写字母/数字/特殊字符）

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># authconfig --passminclass=2 --update</code> <code>[root@kevin ~]</code><code># grep "^minclass" /etc/security/pwquality.conf</code> <code>minclass = 2</code> </td> 
 </tr> 
 </tbody> 
</table>

**9）在新密码中设置允许的连续相同字符的最大数量**

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># authconfig --passmaxrepeat=3 --update</code> <code>[root@kevin ~]</code><code># grep "^maxrepeat" /etc/security/pwquality.conf</code> <code>maxrepeat = 3</code> </td> 
 </tr> 
 </tbody> 
</table>

**10）在新密码中设置同一类的最大允许连续字符数**

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># authconfig --passmaxclassrepeat=4 --update</code> <code>[root@kevin ~]</code><code># grep "^maxclassrepeat" /etc/security/pwquality.conf</code> <code>maxclassrepeat = 4</code> </td> 
 </tr> 
 </tbody> 
</table>

**11）新密码中至少需要一个小写字符**

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># authconfig --enablereqlower --update</code> <code>[root@kevin ~]</code><code># grep "^lcredit" /etc/security/pwquality.conf</code> <code>lcredit = -1</code> </td> 
 </tr> 
 </tbody> 
</table>

**12）新密码中至少需要一个大写字符**

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># authconfig --enablerequpper --update</code> <code>[root@kevin ~]</code><code># grep "^ucredit" /etc/security/pwquality.conf</code> <code>ucredit = -1</code> </td> 
 </tr> 
 </tbody> 
</table>

**13）新密码中至少需要一位数字**

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># authconfig --enablereqdigit --update</code> <code>[root@kevin ~]</code><code># grep "^dcredit" /etc/security/pwquality.conf</code> <code>dcredit = -1</code> </td> 
 </tr> 
 </tbody> 
</table>

**14）新密码中至少需要一个其他字符**

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># authconfig --enablereqother --update</code> <code>[root@kevin ~]</code><code># grep "^ocredit" /etc/security/pwquality.conf</code> <code>ocredit = -1</code> </td> 
 </tr> 
 </tbody> 
</table>

**15）在新密码中设置单调字符序列的最大长度**（ex⇒’12345’，’fedcb’）

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># vim /etc/security/pwquality.conf</code> <code># add to the end</code> <code>maxsequence = 3</code> </td> 
 </tr> 
 </tbody> 
</table>

**16）设置旧密码中不能出现的新密码中的字符数**

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># vim /etc/security/pwquality.conf</code> <code># add to the end</code> <code>difok = 5</code> </td> 
 </tr> 
 </tbody> 
</table>

**17）检查新密码中是否包含用户passwd项的GECOS字段中长度超过3个字符的单词**

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># vim /etc/security/pwquality.conf</code> <code># add to the end</code> <code>gecoscheck = 1</code> </td> 
 </tr> 
 </tbody> 
</table>

**18）设置不能包含在密码中的Ssace分隔列表**

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 </td> 
 <td> <code>[root@kevin ~]</code><code># vim /etc/security/pwquality.conf</code> <code># add to the end</code> <code>badwords = denywords1 denywords2 denywords3</code> </td> 
 </tr> 
 </tbody> 
</table>

**19）为新密码设置散列/密码算法。 （默认是sha512）**

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 4 5 6 </td> 
 <td> <code>[root@kevin ~]</code><code># authconfig --test | grep hashing</code> <code>&nbsp;</code><code>password hashing algorithm is sha512</code> <code>&nbsp;</code>&nbsp; <code>[root@kevin ~]</code><code># authconfig --passalgo=md5 --update&nbsp;&nbsp;</code> <code>[root@kevin ~]</code><code># authconfig --test | grep hashing&nbsp;</code> <code>&nbsp;</code><code>password hashing algorithm is md5</code> </td> 
 </tr> 
 </tbody> 
</table>

**二、账户锁定策略实现 **

\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*当你发现自己的才华撑不起野心时，就请安静下来学习吧\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*