如何设置Linux用户密码策略 chage命令配置详解

要配置linux用户的密码策略，chage命令是核心工具。它能精细化控制密码有效期、过期警告、不活动期限等；常用参数包括：1. -m 设置最长密码有效期；2. -m 设置最短密码有效期；3. -w 设置过期前警告天数；4. -i 设置密码过期后账户不活动锁定天数；5. -e 设置账户过期日期；6. -l 查看用户密码策略信息；7. -d 强制用户下次登录更改密码。例如，sudo chage -m 90 -m 7 -w 14 -i 30 testuser 可设置密码最长有效期为90天、最短7天、提前14天警告、过期后30天锁定账户；查看策略使用 sudo chage -l testuser；强制改密使用 sudo chage -d 0 testuser。精细化管理密码策略的必要性体现在三方面：第一，满足安全合规要求如pci dss、gdpr；第二，降低暴力破解与字典攻击风险，通过定期更换限制攻击窗口；第三，自动清理长期不活跃账户，减少“僵尸账户”带来的安全隐患。此外，结合/etc/login.defs定义全局默认策略，利用pam模块控制密码复杂性和历史记录，并通过自动化脚本或配置管理工具实现规模化部署，可构建更健壮的密码管理体系。这些工具共同作用，确保系统安全性既全面又可持续。

设置linux用户密码策略，

chage

命令是你的核心工具。它能让你对用户的密码有效期、过期警告、不活动期限等进行精细化控制，是保障系统账户安全的关键一环。

要配置Linux用户的密码策略，

chage

命令是核心。这个命令能让你对用户的密码有效期、过期警告、不活动期限等进行精细化控制。

最常用的参数包括：

• -M

  (Maximum days): 设置密码最长有效期，超过这个天数用户必须更改密码。

• -M

  (Minimum days): 设置密码最短有效期，用户在此期间不能更改密码。这可以防止用户立即改回旧密码。

• -W

  (Warning days): 设置密码过期前多少天开始警告用户。

• -I

  (Inactive days): 设置密码过期后，账户在多少天不活动后被锁定。

• -E

  (Expire date): 直接设置账户的过期日期。

• -l

  (List): 列出指定用户的密码过期信息。

示例： 假设我们要为用户

testuser

设置一个策略：

1. 密码最长有效期90天。
2. 密码最短有效期7天。
3. 过期前14天开始警告。
4. 密码过期后30天不活动就锁定账户。

sudo chage -M 90 -m 7 -W 14 -I 30 testuser

要查看

testuser

的当前策略：

sudo chage -l testuser

输出可能像这样：

Last password change                                : Dec 01, 2023 Password expires                                    : Mar 01, 2024 Password inactive                                   : Mar 31, 2024 Account expires                                     : never Minimum number of days between password change      : 7 Maximum number of days between password change      : 90 Number of days of warning before password expires   : 14

如果想强制用户下次登录时更改密码：

sudo chage -d 0 testuser

这里的

-d 0

意思是将上次密码修改日期设置为“纪元开始”，系统会认为密码已经过期，从而强制用户在下次登录时更改。

为什么我们需要精细化管理Linux用户密码策略？

说实话，很多人对密码策略的理解还停留在“设个复杂密码就行了”的层面，这显然是不够的。在当今的网络威胁环境下，精细化管理用户密码策略不再是锦上添花，而是安全基石。你想想，一个长期不更换的密码，即使再复杂，一旦被泄露（比如通过数据泄露、钓鱼邮件），攻击者就能长期驻留在你的系统里，这简直是噩梦。

首先，安全合规性是绕不开的话题。许多行业标准，比如PCI DSS、GDPR等，都对密码策略有明确要求，比如强制定期更换密码、设置密码复杂性等。如果你是企业管理员，不遵循这些规定，轻则罚款，重则业务停摆。

其次，是降低被暴力破解和字典攻击的风险。虽然密码复杂性是第一道防线，但配合定期更换，即使攻击者获得了你的部分密码哈希，其有效时间窗也大大缩短。

chage

的

-M

参数就是为此而生。而

-M

参数，看似有点反直觉，它防止用户刚改完密码就立刻改回一个他们更喜欢（但可能不安全）的旧密码，这堵住了策略实施的一个小漏洞。

再者，处理长期不活跃账户的风险。有些员工离职了，或者项目结束了，他们的账户可能还在系统里。如果这些账户的密码没有过期策略，或者过期后没有被禁用，它们就成了潜在的“后门”。

chage

的

-I

参数在这里就显得尤为重要，它能自动锁定那些密码过期后长期不活动的账户，避免了手动清理的遗漏。这就像给你的系统设置了一个自动的“清理工”，确保没有被遗忘的、潜在的危险。

总之，这不是为了折腾用户，而是为了构建一个更具韧性的安全防线。

chage命令的核心参数解析与实际应用场景

chage

命令的每个参数都承载着特定的安全意图，理解它们背后的逻辑，才能在实际场景中灵活运用。我们之前提到了

-M

,

-M

,

-W

,

-I

,

-E

,

-l

，这里我想再深入一点，并聊聊一些我个人在实践中遇到的一些考量。

-M

-M

(Minimum days) 的平衡 我见过很多公司把

-M

设得非常短，比如30天，结果用户抱怨连天，因为他们觉得记不住那么多密码。但设得太长，比如365天，又失去了定期更换的意义。我认为，一个比较合理的范围是90到180天，同时辅以强密码复杂性要求。

-M

参数则通常设为1到7天，防止“密码循环”——即用户在短时间内反复更改密码，最终改回旧密码或易于记忆的弱密码。如果你的系统对安全性要求极高，比如金融行业，

-M

设为7天甚至更长是常见的做法。

-W

(Warning days) 的人性化考量 这个参数看似简单，却直接影响用户体验。如果警告期太短，比如只有1天，用户可能来不及反应，下次登录就被强制改密码，体验很差。但如果太长，比如30天，用户可能早就把警告抛之脑后了。我通常会设为7到14天。这给了用户足够的时间来准备，同时又保持了紧迫感。有时，你甚至可以结合系统登录时的MOTD（Message Of The Day）或者自定义脚本，提供更友好的提醒。

-I

(Inactive days) 的“惰性”安全 这个参数是我个人非常推崇的。它处理的是“僵尸账户”问题。想象一下，一个员工离职了，你忘记禁用他的账户，或者他改了密码后就再也没登录过。如果他的密码过期了，但账户依然活跃，理论上只要他记住密码，他随时可以登录。但如果设置了

-I

，比如

-I 30

，那么在密码过期后30天内如果账户没有活动，系统就会自动锁定它。这大大降低了旧凭证被滥用的风险。这其实是一种“惰性”安全机制，即使你忘记了手动清理，系统也会帮你兜底。

-E

(Expire date) 的特定场景应用

-E

参数更多用于临时账户或项目账户。比如，你给一个外部审计人员创建了一个账户，你知道他们只会在未来一个月内使用。你可以直接用

-E

设置一个明确的过期日期。

sudo chage -E "2024-12-31" tempuser

这样，到了指定日期，账户就会自动禁用，无需手动干预。这对于管理临时访问权限非常方便。

总的来说，

chage

的这些参数不是孤立的，它们共同构建了一个用户密码的生命周期管理体系。在实际部署时，你需要根据你的组织的安全策略、用户规模和操作习惯来权衡和选择。没有一劳永逸的“最佳实践”，只有最适合你当前环境的配置。

如何结合chage与其他工具构建健壮的密码管理体系？

单靠

chage

命令，虽然能管理单个用户的密码策略，但要构建一个真正健壮、易于维护的密码管理体系，你需要将它与其他Linux系统工具和配置协同起来。这就像盖房子，

chage

是砖瓦，但你还需要钢筋、水泥和设计图纸。

1. /etc/login.defs：全局默认策略的基石

chage

是针对单个用户或在用户创建后修改策略。但对于新创建的用户，或者说整个系统的默认行为，

/etc/login.defs

文件才是定义全局默认密码策略的地方。这里面的参数，如

PASS_MAX_DAYS

,

PASS_MIN_DAYS

,

PASS_WARN_AGE

等，直接影响

useradd

命令创建新用户时的默认

chage

属性。

例如，如果你在

/etc/login.defs

中设置：

PASS_MAX_DAYS   90 PASS_MIN_DAYS   7 PASS_WARN_AGE   14

那么，所有新创建的用户（如果没有通过

useradd -M

等参数覆盖）都会自动继承这些密码策略。这极大地简化了新用户的管理，确保了系统级别的统一性。我通常会先在这里设定好一个基线，然后再根据特定用户的需求，用

chage

进行微调。

2. PAM (Pluggable Authentication Modules)：密码复杂性和历史记录的守护者

chage

负责“什么时候”改密码和“什么时候”失效，而 PAM 则负责“怎么”改密码，以及“密码本身”的质量。PAM 模块，特别是

pam_pwquality.so

（或旧的

pam_cracklib.so

），允许你定义密码的复杂性要求，比如：

• 最小长度
• 是否包含大小写字母、数字、特殊字符
• 禁止使用字典词汇
• 禁止使用用户名或反向用户名

• remember

  参数：记录并禁止用户使用最近N个旧密码

这些配置通常在

/etc/pam.d/system-auth

或

/etc/pam.d/password-auth

文件中完成。结合

chage

的强制过期，PAM 确保了用户每次更改密码时，新密码都符合预设的复杂度和唯一性要求。没有PAM的复杂性检查，用户可能每次都把密码改成“123456”，那

chage

的强制过期也就失去了大部分意义。

3. 自动化脚本与配置管理工具：规模化部署的利器 手动为每个用户执行

chage

命令显然不是一个可持续的方案，尤其是在大型环境中。这时，自动化脚本（例如，bash脚本结合

awk

或

grep

遍历用户列表）或配置