概述

默认下，Ubuntu server 22.04的本地密码策略比较简单和不安全的，这时我们需要使用pwquality模块来强制实施密码质量策略。

使用以下命令查看指定用户的密码策略：

$ sudo chage -l test01

这里，我们将使用以下用户密码策略：

• 密码最小长度为10个字符。
• 密码中必须包含至少一个数字
• 密码中必须包含至少一个大写字母
• 密码中必须包含至少一个小写字母
• 密码中必须包含至少一个特殊字符
• 密码每90天必须修改一次
• 不能使用以前使用过的10个密码

所有Ubuntu用户将被强制遵守以上密码策略。

第一步：安装pwquality模块

Ubuntu22.04默认没有此模块，需要提前安装。

执行以下命令安装pwquality模块

$ sudo apt update -y
$ sudo apt install libpam-pwquality -y

第二步：启用密码质量（复杂度）检查

编辑配置文件/etc/security/pwquality.conf

$ sudo vi /etc/security/pwquality.conf
# 找到以下行，并修改以下参数的值如下：
minlen=10   # 密码最小长度为10个字符。
dcredit=-1   # 密码中必须包含至少一个数字
ucredit=-1   # 密码中必须包含至少一个大写字母
lcredit=-1    # 密码中必须包含至少一个小写字母
ocredit=-1  # 密码中必须包含至少一个特殊字符

第三步：设置密码过期天数

1) 编辑配置文件 /etc/login.defs

$ sudo vi /etc/login.defs
# 找到以下行，修改以下参数的值如下：
PASS_MAX_DAYS 90

即每90天用户必须修改密码。（已经存在的用户不受影响）

2）修改已存在的用户密码过期时间：

$ sudo chage -M 90 test01

第四步：限制使用过去使用过的密码

编辑配置文件/etc/pam.d/common-password

$ sudo vi /etc/pam.d/common-password
# 找到以下行，修改如下：
password [success=1 default=ignore] pam_unix.so obscure use_authtok try_first_pass sha512 remember=10

（可选）强制用户第一次登陆必须更改密码

$ sudo passwd --expire test01
passwd: password expiry information changed.

附：自动化设置脚本

这里分享一个脚本，可以快速设置上面介绍的Ubuntu密码策略

#!/bin/bash
apt update -y
apt install libpam-pwquality -y        # 安装密码质量检测模块pwquality
mkdir /tmp/config_bk                      # 在/tmp目录下创建一个备份目录
cp /etc/login.defs  /tmp/config_bk            # 将配置文件login.defs 备份到/tmp/config_bk 
cp /etc/pam.d/common-password /tmp/config_bk   # 将配置文件common-password备份到/tmp/config_bk 
cp  /etc/security/pwquality.conf /tmp/config_bk        # 将配置文件pwquality.conf 备份到/tmp/config_bk 
sed -i 's/\<99999\>/90/g' /etc/login.defs
sed -i 's/\<obscure yescrypt\>/obscure use_authtok try_first_pass sha512 remember=10/' /etc/pam.d/common-password
sed -i 's/\# minlen = 8/minlen = 10/' /etc/security/pwquality.conf
sed -i 's/\# minclass = 0/minclass = 3/' /etc/security/pwquality.conf
sed -i 's/\# gecoscheck = 0/gecoscheck = 2/' /etc/security/pwquality.conf
sed -i 's/\# lcredit = 0/lcredit = -1/' /etc/security/pwquality.conf
sed -i 's/\# ucredit = 0/ucredit = -1/' /etc/security/pwquality.conf
sed -i 's/\# dcredit = 0/dcredit = -1/' /etc/security/pwquality.conf
sed -i 's/\# ocredit = 0/ocredit = -1/' /etc/security/pwquality.conf

说明：请在测试环境 测试无问题，再执行脚本。

喜欢的朋友，请帮忙点个赞并收藏，谢谢大家！