暂无图片
暂无图片
暂无图片
暂无图片
暂无图片
首页 / CentOS7配置密码安全策略

CentOS7配置密码安全策略

kpxiaoxm 2021-08-06
3628

一、密码有效期策略

1、策略需求

密码最大可用天数为90天，修改密码后7天内不得再修改，密码过期前10天提醒用户修改密码

2、操作命令

  • 对于新用户（配置后创建的用户）
    cp etc/login.defs etc/login.defs.bak`date +%Y%m%d`
    sed -i "s/^PASS_MAX_DAYS.*/PASS_MAX_DAYS\t90/g" etc/login.defs
    sed -i "s/^PASS_MIN_DAYS.*/PASS_MIN_DAYS\t7/g" etc/login.defs
    sed -i "s/^PASS_WARN_AGE.*/PASS_WARN_AGE\t10/g" etc/login.defs
    grep ^PASS_ /etc/login.defs
    • 对于现有用户
    修改：passwd -x 90 -n 7 -w 10 username 或 chage -M 90 -m 7 -W 10 username
    查看：passwd -S username 或 chage -l username
    更多内容请参考：man passwd 、man chage、man login.defs


    二、密码复杂度

    1、策略需求

    密码最小长度至少为12位，其中至少1位小写字母、至少1位大写字母、至少1位数字、至少1位特殊符号，不能使用过去5次使用过的旧密码。

    2、操作命令

    密码复杂度的设置通过修改/etc/pam.d/password-auth和/etc/pam.d/system-auth文件实现，两个文件初始配置是一样的。
      touch /etc/security/opasswd
      chown root:root /etc/security/opasswd
      chmod 600 /etc/security/opasswd
      cp /etc/pam.d/system-auth /etc/pam.d/system-auth.bak`date +%Y%m%d`
      sed -i '/password    sufficient    pam_unix.so/s/$/ remember=5/' /etc/pam.d/system-auth
      sed -i  '/pam_pwquality.so/s/$/ dcredit=-1 ucredit=-1 ocredit=-1 lcredit=-1 minlen=12/' /etc/pam.d/system-auth
      cat /etc/pam.d/system-auth
      cp /etc/pam.d/password-auth /etc/pam.d/password-auth.bak`date +%Y%m%d`
      sed -i '/password    sufficient    pam_unix.so/s/$/ remember=5/' /etc/pam.d/password-auth
      sed -i  '/pam_pwquality.so/s/$/ dcredit=-1 ucredit=-1 ocredit=-1 lcredit=-1 minlen=12/' /etc/pam.d/password-auth
      cat /etc/pam.d/password-auth
      配置前：

      配置后：

      更多内容请参考：man pam_pwquality、man pam_unix


      三、密码验证失败锁定策略

      1、策略需求

      当输错密码5次后，锁定用户，300秒后自动解锁。

      2、操作命令

      密码验证失败锁定策略也是通过修改/etc/pam.d/password-auth和/etc/pam.d/system-auth文件实现。
        sed -i  '4aauth        required      pam_tally2.so deny=5 onerr=fail  unlock_time=300' /etc/pam.d/system-auth
        sed -i  '4aauth        required      pam_tally2.so deny=5 onerr=fail  unlock_time=300' /etc/pam.d/password-auth
        cat /etc/pam.d/system-auth /etc/pam.d/password-auth
        查询锁定情况：pam_tally2 或 pam_tally2 -u username
        解除锁定：pam_tally2 -r -u username
        配置前：

        配置后：

        更多内容请参考：man pam_tally2


        安全
        文章转载自kpxiaoxm，如果涉嫌侵权，请发送邮件至：contact@modb.pro进行举报，并提供相关证据，一经查实，墨天轮将立刻删除相关内容。

        评论