Linux安全策略设置

RHEL密码设置策略问题

1、当一个用户试图多次登录失败后，如何锁住这个用户？

PAM（可插入的验证模块）的pam_tally模块可以跟踪不成功的登录次数。当到达一个预先设定的限制值后，禁止这个用户的帐号。也就是通常讲的锁住用户。

为了使一个用户尝试登录4次失败，锁住这个用户，需要在/etc/pam.d/system- auth文件中加入下面两行：

auth required /lib/security/pam_tally.so nerr=fail no_magic_root

account required /lib/security/pam_tally.so deny=3 no_magic_root reset

下面是上面使用的选项的具体描述：

* nerr=fail

如果一些奇怪的事情发生，例如不能打开文件，这个决定了模块应该如何反应。

* no_magic_root

表示如何这个模块是由一个uid=0的用户触发，那么计数器就增加。

系统管理员应该使用这个选项用于例如：telnet/rsh/login之类的服务。

* deny=3

这个选项表明如果这个用户登录3次失败，就拒绝访问。

* reset

这个选项指示模块对成功的实体，应复位到0。

下面是一个实现这种策略的一个完全的例子：

auth required /lib/security/pam_env.so

auth required /lib/security/pam_tally.so nerr=fail no_magic_root

auth sufficient /lib/security/pam_unix.so likeauth nullok

auth required /lib/security/pam_deny.so

account required /lib/security/pam_unix.so

account required /lib/security/pam_tally.so deny=5 no_magic_root reset

password requisite /lib/security/$ISA/pam_cracklib.so retry=3

password sufficient /lib/security/$ISA/pam_unix.so nullok use_authtok md5 shadow

password required /lib/security/$ISA/pam_deny.so

session required /lib/security/$ISA/pam_limits.so

session required /lib/security/$ISA/pam_unix.so

=============================================================================== 2、如何设置密码过期时间，比如说设置密码后, 90天后密码过期，需要重设密码？

修改/etc/login.defs里面的PASS_MAX_DAYS，比如修改所有

用户的密码过期时间是30天：

PASS_MAX_DAYS 30

如果这个值是99999，那么表示密码永不过期。

更多信息可以参考如下链接文档：

https://www.360docs.net/doc/e24146092.html,/faq/FAQ_80_12509.shtm

=============================================================================== 3、如何设置密码深度，即统自动记忆多少个以前的旧密码？

（1）创建/etc/security/opasswd

touch /etc/security/opasswd

chown root:root /etc/security/opasswd

chmod 600 /etc/security/opasswd

（2）在/etc/pam.d/system-auth里，给pam_unix模块里加上remember=10

password required pam_cracklib.so retry=3 minlen=12 difok=4

password required pam_unix.so md5 remember=12 use_authtok

Linux下的密码策略

1、Linux系统的用户帐号策略

编辑/etc/pam.d/system-auth 添加如下语句。

auth required /lib/security/$ISA/pam_tally.so deny=5

account required pam_tally.so

该语句的解释：密码最大联系登录6次，超过只能联系管理员。

2、密码策略

2.1编辑/etc/login.defs 指定如下参数的值。

PASS_MAX_DAYS 99999

PASS_MIN_DAYS 0

PASS_MIN_LEN 5

PASS_WARN_AGE 7

参数值得解释： PASS_MAX_DAYS（设置密码过期日期）

PASS_MIN_DAYS(设置密码最少更改日期）

PASS_MIN_LEN(设置密码最小长度）时指密码设置的最小长度，一般定义为8位以上

PASS_WARN_AGE(设置过期提前警告天数）

2.2 设置账户锁定登陆失败锁定次数、锁定时间

编辑/etc/pam.d/system- auth 首先 cp /etc/pam.d/system-auth

/etc/pam.d/system-auth.bak

#vi /etc/pam.d/system-auth

auth required pam_tally.so onerr=fail deny=6 unlock_time=300 解释：设置位密码连续六次锁定，锁定时间300秒

解锁用户 faillog -u <用户名》 -r

2.3 设置口令的复杂程度。

编辑/etc/pam.d/system- auth 首先 cp /etc/pam.d/system-auth

/etc/pam.d/system-auth.bak

#vi /etc/pam.d/system-auth

找到pam_cracklib.so 在后面加一些参数，

例：password requisite pam_cracklib.so minlen=8

ucredit=-2 lcredit=-2 dcredit=-5 ocredit=-1

意思为最少有2个大写字母，2个小写字符，5个数字， 1个符号

2.4 限制su的权限

如果你不想任何人能够用su作为root，可以编辑/etc/pam.d/su文件，增加如下两行：

auth sufficient /lib/security/pam_rootok.so debug

auth required /lib/security/pam_wheel.so group=isd

这时，仅isd组的用户可以用su作为root。此后，如果你希望用户admin能够用su作为root，可以运行如下命令

# usermod -G10 admin