系统安全加固2——密码有效期

密码有效期与文章《系统安全加固1——密码复杂度》配合设置，起到强化作用。

1、环境

操作系统：Server 8.3 （衍生自 CentOS 8.3）

2、修改系统默认密码有效期

密码有效期的配置文件为：/etc/login.defs 。这四行内容的解释在文件中也给出了。

# Password aging controls:
#
#       PASS_MAX_DAYS   Maximum number of days a password may be used.
#       PASS_MIN_DAYS   Minimum number of days allowed between password changes.
#       PASS_MIN_LEN    Minimum acceptable password length.
#       PASS_WARN_AGE   Number of days warning given before a password expires.
#
PASS_MAX_DAYS   90
PASS_MIN_DAYS   0
PASS_MIN_LEN    8
PASS_WARN_AGE   7

这里面重要的是：

第一行：密码有效期天数（白话：过了90天，密码就失效了）；
第二行：两次密码修改需要的间隔天数（此处为0,也就是可以多次修改密码）
第三行：密码最小位数，与《系统安全加固1——密码复杂度》中密码最小位数保持一致；
第四行：密码过期告警日期（此处为提前一周给出密码过期告警）

因为我要将修改固化到Server 8.3系统中，所以我需要修改软件包来实现。/etc/login.defs文件属于shadow源码包（shadow-utils.login.defs文件）。
修改内容和上面保持一致。

3 需要注意的点

3.1 系统中直接修改

1）在一个已经安装好的系统中，修改/etc/login.defs文件之后，并不会立即生效。
2）在已经安装好的系统中，修改/etc/shadow文件中用户名所在行的密码有效期（将99999（永不过期）修改为其他数字时），只要用户使用到需要密码的场景，首先会弹出修改密码的提示（也就是立即生效了）。

3.2 修改shadow软件包后，重打ISO

安装完系统、重启之后，强制需要修改密码（对普通用户，对root并没有生效）。原因是/etc/shadow中用户名后面的密码有效期数据修改了！

3.3 注意/etc/login.defs文件中开头的注释信息

 请注意，这个配置文件中的参数控制着来自shadow-utils组件的工具的行为。这些工具都没有使用PAM机制，\
 因此使用PAM的工具（如passwd命令）应该在其他地方配置。更多信息请参考/etc/pam.d/system-auth。

shadow-utils包中提供的命令(不使用PAM机制)有:

[root@localhost etc]# rpm -ql shadow-utils 
......
/usr/bin/chage
/usr/bin/gpasswd
/usr/bin/lastlog
/usr/bin/newgidmap
/usr/bin/newgrp
/usr/bin/newuidmap
/usr/bin/sg
/usr/sbin/adduser
/usr/sbin/chgpasswd
/usr/sbin/chpasswd
/usr/sbin/groupadd
/usr/sbin/groupdel
/usr/sbin/groupmems
/usr/sbin/groupmod
/usr/sbin/grpck
/usr/sbin/grpconv
/usr/sbin/grpunconv
/usr/sbin/newusers
/usr/sbin/pwck
/usr/sbin/pwconv
/usr/sbin/pwunconv
/usr/sbin/useradd
/usr/sbin/userdel
/usr/sbin/usermod
/usr/sbin/vigr
/usr/sbin/vipw
......