Linux密码策略

概述

默认下，Ubuntu server 22.04的本地密码策略比较简单和不安全的，这时我们需要使用pwquality模块来强制实施密码质量策略。

使用以下命令查看指定用户的密码策略：

$ sudo chage -l test01

查看用户密码策略

这里，我们将使用以下用户密码策略：

密码最小长度为10个字符。密码中必须包含至少一个数字密码中必须包含至少一个大写字母密码中必须包含至少一个小写字母密码中必须包含至少一个特殊字符密码每90天必须修改一次不能使用以前使用过的10个密码

所有Ubuntu用户将被强制遵守以上密码策略。

第一步：安装pwquality模块

Ubuntu22.04默认没有此模块，需要提前安装。

执行以下命令安装pwquality模块

$ sudo apt update -y$ sudo apt install libpam-pwquality -y

编辑配置文件/etc/security/pwquality.conf

$ sudo vi /etc/security/pwquality.conf# 找到以下行，并修改以下参数的值如下：minlen=10   # 密码最小长度为10个字符。dcredit=-1   # 密码中必须包含至少一个数字ucredit=-1   # 密码中必须包含至少一个大写字母lcredit=-1    # 密码中必须包含至少一个小写字母ocredit=-1  # 密码中必须包含至少一个特殊字符

1) 编辑配置文件 /etc/login.defs

$ sudo vi /etc/login.defs# 找到以下行，修改以下参数的值如下：PASS_MAX_DAYS 90

即每90天用户必须修改密码。（已经存在的用户不受影响）

2）修改已存在的用户密码过期时间：

$ sudo chage -M 90 test01

编辑配置文件/etc/pam.d/common-password

$ sudo vi /etc/pam.d/common-password# 找到以下行，修改如下：password [success=1 default=ignore] pam_unix.so obscure use_authtok try_first_pass sha512 remember=10

$ sudo passwd --expire test01passwd: password expiry information changed.

附：自动化设置脚本

这里分享一个脚本，可以快速设置上面介绍的Ubuntu密码策略

#!/bin/bashapt update -yapt install libpam-pwquality -y        # 安装密码质量检测模块pwqualitymkdir /tmp/config_bk                      # 在/tmp目录下创建一个备份目录cp /etc/login.defs  /tmp/config_bk            # 将配置文件login.defs 备份到/tmp/config_bk cp /etc/pam.d/common-password /tmp/config_bk   # 将配置文件common-password备份到/tmp/config_bk cp  /etc/security/pwquality.conf /tmp/config_bk        # 将配置文件pwquality.conf 备份到/tmp/config_bk sed -i 's/\<99999\>/90/g' /etc/login.defssed -i 's/\<obscure yescrypt\>/obscure use_authtok try_first_pass sha512 remember=10/' /etc/pam.d/common-passwordsed -i 's/\# minlen = 8/minlen = 10/' /etc/security/pwquality.confsed -i 's/\# minclass = 0/minclass = 3/' /etc/security/pwquality.confsed -i 's/\# gecoscheck = 0/gecoscheck = 2/' /etc/security/pwquality.confsed -i 's/\# lcredit = 0/lcredit = -1/' /etc/security/pwquality.confsed -i 's/\# ucredit = 0/ucredit = -1/' /etc/security/pwquality.confsed -i 's/\# dcredit = 0/dcredit = -1/' /etc/security/pwquality.confsed -i 's/\# ocredit = 0/ocredit = -1/' /etc/security/pwquality.conf

说明：请在测试环境 测试无问题，再执行脚本。

喜欢的朋友，请帮忙点个赞并收藏，谢谢大家！