# Linux系统如何设置密码策略 ## 前言 在当今信息安全日益重要的环境下，合理设置密码策略是保护Linux系统安全的基础措施之一。本文将详细介绍Linux系统中密码策略的配置方法，包括密码复杂度要求、有效期设置、历史记录限制等关键配置项，并针对不同发行版提供具体操作指南。 --- ## 一、密码策略的重要性 ### 1.1 为什么需要密码策略 - 防止暴力破解攻击 - 避免弱密码导致的安全漏洞 - 符合企业安全合规要求 - 建立用户密码安全意识 ### 1.2 常见密码风险 - 简单密码（如"123456"、"password"） - 长期不更换密码 - 多系统共用相同密码 - 密码泄露后不及时修改 --- ## 二、Linux密码策略核心配置 ### 2.1 PAM模块基础 Linux通过PAM（Pluggable Authentication Modules）实现认证管理： ```bash # 主要配置文件位置 /etc/pam.d/system-auth /etc/pam.d/password-auth /etc/security/pwquality.conf 通过libpwquality库配置（RHEL/CentOS/Fedora）：
# 安装工具 sudo yum install libpwquality # 编辑配置文件 sudo vi /etc/security/pwquality.conf # 常用参数示例 minlen = 12 # 最小长度 dcredit = -1 # 至少1位数字 ucredit = -1 # 至少1位大写字母 lcredit = -1 # 至少1位小写字母 ocredit = -1 # 至少1位特殊字符 Debian/Ubuntu系统使用pam_pwquality模块：
sudo apt install libpam-pwquality sudo vi /etc/pam.d/common-password 修改/etc/login.defs文件：
PASS_MAX_DAYS 90 # 密码最大有效期 PASS_MIN_DAYS 7 # 密码修改间隔 PASS_WARN_AGE 14 # 过期前警告天数 使用chage命令修改用户策略：
sudo chage -M 90 -m 7 -W 14 username 防止重复使用旧密码：
# 在/etc/pam.d/system-auth中添加 password sufficient pam_unix.so remember=5 use_authtok sha512 shadow 防止暴力破解：
# 编辑/etc/pam.d/system-auth auth required pam_faillock.so preauth silent audit deny=5 unlock_time=900 auth [default=die] pam_faillock.so authfail audit deny=5 # 查看已安装的PAM模块 rpm -qa | grep pam # 验证密码复杂度 echo "TestPassword123!" | pwscore # 安装必要组件 sudo apt install libpam-pwquality libpam-faillock # 测试密码策略 sudo pam-auth-update # 使用YaST工具配置 sudo yast2 security 创建自定义检查脚本：
# 在/etc/pam.d/system-auth中添加 password requisite pam_exec.so /usr/local/bin/custom_pwd_check.sh 示例脚本内容：
#!/bin/bash # 检查密码是否包含用户名 if [[ "$PAM_USER" == *"$PAM_AUTHTOK"* ]]; then echo "Password cannot contain username" exit 1 fi exit 0 为服务账户设置不同策略：
# 在/etc/security/opasswd中排除特定用户 service_account1 service_account2 # 监控密码修改事件 sudo auditctl -w /etc/shadow -p wa -k password_changes # 使用passwd命令测试 echo "weakpass" | sudo passwd --stdin testuser # 预期输出结果 BAD PASSWORD: The password fails the dictionary check - it is too simplistic/systematic # 查看用户密码策略 sudo chage -l username # 检查全局策略 grep "^PASS" /etc/login.defs # 使用hydra工具测试（需授权） hydra -l username -P wordlist.txt ssh://server_ip /var/log/secure# 允许空格字符（默认禁用） sudo vi /etc/security/pwquality.conf allow_whitespace = 1 当多个PAM模块配置冲突时，注意： - 模块检查顺序 - sufficient/requisite/required参数区别 - 使用pam_stack或pam_includes
| 策略项 | 生产环境建议值 |
|---|---|
| 最小长度 | 12字符 |
| 复杂度要求 | 4种字符类型 |
| 有效期 | 90天 |
| 历史记录 | 5次 |
| 失败锁定 | 5次尝试/15分钟 |
- name: Configure password policy template: src: templates/pwquality.conf.j2 dest: /etc/security/pwquality.conf # 安装Google Authenticator sudo apt install libpam-google-authenticator 合理配置Linux密码策略需要平衡安全性与可用性。建议定期审计密码策略有效性，结合其他安全措施如防火墙、入侵检测系统等构建纵深防御体系。随着技术的发展，也应考虑逐步引入生物识别、硬件密钥等更先进的认证方式。
注意：所有配置修改前请做好备份，并在测试环境验证后再应用于生产系统。 “`
本文共计约2650字，涵盖了Linux密码策略的全面配置指南，包含具体命令示例、不同发行版的差异处理以及企业级实践建议。如需扩展特定部分内容，可以进一步增加实际案例或详细原理说明。
免责声明：本站发布的内容（图片、视频和文字）以原创、转载和分享为主，文章观点不代表本网站立场，如果涉及侵权请联系站长邮箱：is@yisu.com进行举报，并提供相关证据，一经查实，将立刻删除涉嫌侵权内容。
