pam_cracklib是linux系统中用于检查密码复杂度的pam模块，通过配置其参数可提升系统安全性。它依赖cracklib库判断密码强度，常用于/etc/pam.d/system-auth或common-password文件中。关键参数包括retry（允许尝试次数）、minlen（最小长度）、ucredit（大写字母数）、lcredit（小写字母数）、dcredit（数字数）和ocredit（特殊字符数），均建议设为负值以强制满足条件。例如设置password requisite pam_cracklib.so retry=3 minlen=10 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1可要求密码至少10位并包含各类字符。测试时可使用passwd命令或cracklib-check工具验证配置是否生效。需注意模块路径、策略冲突、缓存问题及避免过度限制用户。
在linux系统中，配置用户密码复杂度是保障系统安全的重要一环。很多人可能知道可以通过PAM模块来实现，但具体怎么操作、参数如何设置却不太清楚。其实，使用pam_cracklib模块就可以很方便地对用户设置的密码进行强度校验。
什么是 pam_cracklib？
pam_cracklib 是 Linux PAM（Pluggable Authentication Modules）系统中的一个模块，专门用来检查密码的复杂度是否符合要求。它依赖于 cracklib 这个库来判断密码是否容易被破解。
这个模块通常用于 /etc/pam.d/system-auth 或 /etc/pam.d/common-password 文件中，控制用户修改密码时的策略。
常见的配置行如下：
password requisite pam_cracklib.so retry=3 minlen=10 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1
每一项参数都有特定含义，下面会详细说明。
常用参数及推荐设置
配置 pam_cracklib 的关键是理解各个参数的作用，并根据实际需求调整它们。以下是几个关键参数：
- retry=N：允许用户尝试设置密码的次数，例如 retry=3 表示最多试3次。
- minlen=N：密码最小长度，建议至少设为8以上，更安全可设为10或12。
- ucredit=-N：大写字母最少需要几个，比如 -1 表示至少要有一个。
- lcredit=-N：小写字母最少需要几个。
- dcredit=-N：数字最少需要几个。
- ocredit=-N：特殊字符（如!@#$%^&*）最少需要几个。
举个例子，如果希望密码至少包含1个大写、1个小写、1个数字和1个特殊字符，并且总长度不小于10位，可以这样设置：
password requisite pam_cracklib.so retry=3 minlen=10 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1
注意：这里的负号“-”很重要，表示必须满足该条件；如果是正数，比如 ucredit=1，则表示最多允许出现1个大写字母，这显然不是我们想要的效果。
如何测试配置是否生效？
配置完成后，最直接的方式就是切换到普通用户，执行 passwd 命令修改密码，看看是否能成功设置简单密码。
比如你输入像 12345678 这样的密码，应该会被拒绝。如果你设置了 minlen=10，那么输入9位密码也会失败。
也可以使用一些工具辅助测试，比如安装 libpam-cracklib 后，手动运行 cracklib-check 来验证字典规则是否加载正确。
常见问题与注意事项
- 模块路径错误：确保系统中已经安装了 libpam-cracklib，否则会出现找不到模块的问题。
- 多个密码策略冲突：有些系统同时使用 pam_pwquality 模块，可能会和 pam_cracklib 冲突，建议只保留其中一个。
- 旧密码策略缓存：修改完配置后不一定立即生效，最好重启服务或者重新登录一次。
- 避免过于严格的限制：虽然提高安全性很重要，但太复杂的规则可能导致用户记不住密码，反而用便签纸记录，带来新的安全隐患。
总的来说，配置密码复杂度并不是什么高难度任务，关键是理解每个参数的含义，并结合实际场景合理设置。只要把 /etc/pam.d/ 中的相关配置文件改对了，就能有效提升系统的账户安全水平。
基本上就这些。
