Linux账户密码过期安全策略设置

在Linux系统管理中，有时候需要设置账号密码复杂度（长度）、密码过期策略等，这个主要是由/etc/login.defs参数文件中的一些参数控制的的。它主要用于用户账号限制，里面的参数主要有下面一些：

/etc/login.defs:

修改了 /etc/login.defs下参数时，会立即生效，但是它只对修改后创建的用户生效。例如修改了PASS_MAX_DAYS参数等后，我们新建一个用户test。

<a href="http://images2015.cnblogs.com/blog/73542/201606/73542-20160620145138131-771836345.png"></a>

<a href="http://images2015.cnblogs.com/blog/73542/201606/73542-20160620145139787-1078800046.png"></a>

因为CREATE_HOME为yes，所以创建用户test后，就会默认在/home目录下创建test目录，这个可以在添加用户的规则文件/etc/default/useradd里面查看或修改

如果此时，假如用户test有特殊需求，要求这个账号的密码永不过期，此时就可以使用chage命令来处理（关于chage命令，此处不做展开）

<a href="http://images2015.cnblogs.com/blog/73542/201606/73542-20160620145141084-425091089.png"></a>

如上所示/etc/login.defs只是控制了账号的最小长度以及控制密码的有效期等，那么Linux是如何实现对用户的密码的复杂度的检查的呢？其实系统对密码的控制是有两部分组成：

1 cracklib

2 /etc/login.defs

pam_cracklib.so 才是控制密码复杂度的关键文件/lib/security/pam_cracklib.so， Redhat公司专门开发了cracklib这个安装包来判断密码的复杂度。如果你想查看pam_cracklib的一些参数，那么就使用下面命令

[root@DB-Server security]# man pam_cracklib

例如在/etc/pam.d/system-auth 在password使用pam_cracklib.so设置的最后附加dcredit=3 ucredit=2

此时如果你新建用户的密码不符合密码复杂度，就会出现BAD PASSWORD: it is based on a dictionary word提示。

参考资料：

<a href="http://www.cnblogs.com/xd502djj/archive/2011/11/23/2260094.html">http://www.cnblogs.com/xd502djj/archive/2011/11/23/2260094.html</a>

<a href="http://blog.csdn.net/lhfeng/article/details/6033598">http://blog.csdn.net/lhfeng/article/details/6033598</a>