平凡的幸福(備站）

一、記錄歷史密碼功能

它會記錄使用者使用過的密碼，最多可以記錄26組。
如果啟用這個功能後，在變更密碼時將不允許重複之前已使用過的密碼。

編輯/etc/default/passwd，將HISTORY前的註解#移除，並且給予一個大於零的值如下，
HISTORY＝5 --> 表示記錄曾使用過的五組密碼

例子：
$ passwd
passwd: Changing password for keven
Enter existing login password:
New Password:
passwd: Password in history list. -->提示新密碼已被使用過


被記錄的密碼放在/etc/security/passhistory，每行的最前面是帳號，後面使用過的加密密碼，
以「:」來區分各組密碼
# cat /etc/security/passhistory
keven:30mTqC53LX0Fg:YpysbwM605wh6:


二、限制密碼錯誤次數的功能

編輯 /etc/security/policy.conf，將LOCK_AFTER_RETRIES的值設定為YES，並將註解#字移除以啟用功能。
編輯/etc/default/login，設定RETRIES的值並將註解#移除，限制密碼最多輸入幾次錯誤，便將帳號鎖住。

另外在/etc/default/login中還有一個SYSLOG_FAILED_LOGINS，是設定幾次登入錯誤後才會送訊息給syslog，
如果設成0，則每次的錯誤都會送訊息給syslog。

使用者在登入失敗後，/etc/shadow中密碼那一欄的最前面會被加上*LK*，即表示這個帳號被鎖住了，如下：
test01:*LK*gRTCELbBZ4Bko:16170::::::6

可以使用passwd -u 來解開被鎖住的帳號，或者是手動把/etc/shadow裡的*LK*移除就可以了。
# passwd -u test01
passwd: password information changed for test01

這個功能是全域設定，也就是一旦啟用，所有的帳號都適用，如果想排除針對其中一個帳號，
則可以編輯/etc/user_attr並且加入::::lock_after_retries=no，例如：
test01::::lock_after_retries=no


三、密碼最小長度

編輯/etc/default/passwd，修改參數PASSLENGTH的值，例如改為最小長度為8
PASSLENGTH=8

以帳號test01來測試
$ passwd
passwd: Changing password for test01
Enter existing login password:
New Password: --> 輸入 root123
passwd: Password too short - must be at least 8 characters.
會提示輸入的密碼太短了。


四、設定帳號到期天數

以test01為例，先執行下列指令
# usermod -f 6 test 01
# passwd -n 1 -x 2 -w 3 test01

參數說明：

usermod
-f 密碼到期後寬限天數

passwd
-n 限制密碼變更相隔天數
-x 密碼到期天數
-w 密碼過期前警告天數


接著可以觀察/etc/shadow中test01的設定
test01:$1$1jgzqgOq$AZrtLDm9oSyFrm0.ugLZC.:16170:1:2:3:6::

格式：name:password:last_change_date:min:max:warn:inactive:expire_date:none
格式說明：Login_Name:Password:更改密碼的最後時間:限制密碼變更相隔天數:密碼到期天數:
密碼過期前警告天數:密碼到期後寬限天數:失效日期:保留欄位

各欄位說明

Login_Name:
這是使用者名稱，與另一個帳號檔/etc/passwd相應

Password:
使用者加密後的密碼

更改密碼的最後時間：
單位是日，由1970/1/1開始起算天數。
例如 (1970/1/1) + 16170 = (2014/4/10)，表示test01最後在2014/4/10變更過密碼

限制密碼變更相隔天數：
例如1表示密碼隨時更改後必須經過一天才能再更改。

密碼到期天數：
變更密碼多少天後就必須要設定新密碼，否則這個帳號將會失效。
例如上面的2，表示密碼2天後會到期。

密碼過期前警告天數：
系統預設值是7天，上面的3表示密碼到期日3天前會提示更換密碼

密碼到期後寬限天數：
例如6，代表密碼過期後6天，帳號就會失效。

失效日期：
帳號會在指定日期之後失效。
一樣是以1970/1/1來計算天數，如：(2014/4/10) - (1970/1/1) = 16170

保留欄位：
最後一個欄位是保留的。