共计 6539 个字符，预计需要花费 17 分钟才能阅读完成。
由于工作需要最近需要将公司的多台 Linux 服务器进行密码策略的设置，主要内容是增加密码复杂度。
操作步骤如下，不会的同学可以参考：
操作前需要掌握如下几个简单的知识点：（其实不掌握也行，不过学学没坏处）
PAM（Pluggable Authentication Modules）是由 Sun 提出的一种认证机制。它通过提供一些动态链接库和一套统一的 API，将系统提供的服务 和该服务的认证方式分开，使得系统管理员可以灵活地根据需要给不同的服务配置不同的认证方式而无需更改服务程序，同时也便于向系 统中添加新的认证手段。PAM 最初是集成在 Solaris 中，目前已移植到其它系统中，如 Linux、SunOS、HP-UX 9.0 等。
PAM 的配置是通过单个配置文件 /etc/pam.conf。RedHat 还支持另外一种配置方式，即通过配置目录 /etc/pam.d/，且这种的优先级要高于单 个配置文件的方式。
使用 PAM 集成 OpenLDAP 实现 Linux 统一管理系统用户 http://www.linuxidc.com/Linux/2014-08/105597.htm
FTP 服务器工作原理及如何通过 PAM 认证实现虚拟用户登录 http://www.linuxidc.com/Linux/2013-05/84984.htm
PAM 的配置过程 http://www.linuxidc.com/Linux/2012-12/76812.htm
基于 ssl/tls 实现 vsftpd 的安全通信并通过 PAM 实现对 vsftpd 的虚拟用户认证 http://www.linuxidc.com/Linux/2013-05/84475.htm
Linux 使用 PAM_ldap 通过 ad 域认证 http://www.linuxidc.com/Linux/2012-09/71043.htm
整合 vsftp+PAM+mysql—集中管理 ftp 的虚拟帐号 http://www.linuxidc.com/Linux/2012-08/68391.htm
vsftpd2.3.5+PAM 安装配置笔记 http://www.linuxidc.com/Linux/2012-07/66658.htm
1、使用配置文件 /etc/pam.conf
该文件是由如下的行所组成的：
service-name module-type control-flag module-path arguments
service-name 服务的名字，比如 telnet、login、ftp 等，服务名字“OTHER”代表所有没有在该文件中明确配置的其它服务。
module-type 模块类型有四种：auth、account、session、password，即对应 PAM 所支持的四种管理方式。同一个服务可以调用多个 PAM 模块进行认证，这些模块构成一个 stack。
control-flag 用来告诉 PAM 库该如何处理与该服务相关的 PAM 模块的成功或失败情况。它有四种可能的 值：required，requisite，sufficient，optional。
required 表示本模块必须返回成功才能通过认证，但是如果该模块返回失败的话，失败结果也不会立即通知用户，而是要等到同一 stack 中的所有模块全部执行完毕再将失败结果返回给应用程序。可以认为是一个必要条件。
requisite 与 required 类似，该模块必须返回成功才能通过认证，但是一旦该模块返回失败，将不再执行同一 stack 内的任何模块，而是直 接将控制权返回给应用程序。是一个必要条件。注：这种只有 RedHat 支持，Solaris 不支持。
sufficient 表明本模块返回成功已经足以通过身份认证的要求，不必再执行同一 stack 内的其它模块，但是如果本模块返回失败的话可以 忽略。可以认为是一个充分条件。
optional 表明本模块是可选的，它的成功与否一般不会对身份认证起关键作用，其返回值一般被忽略。
对于 control-flag，从 Linux-PAM-0.63 版本起，支持一种新的语法，具体可参看 LinuxPAM 文档。
module-path 用来指明本模块对应的程序文件的路径名，一般采用绝对路径，如果没有给出绝对路径，默认该文件在目录 /usr/lib/security 下面。
arguments 是用来传递给该模块的参数。一般来说每个模块的参数都不相同，可以由该模块的开发者自己定义，但是也有以下几个共同 的参数：
debug 该模块应当用 syslog() 将调试信息写入到系统日志文件中。
no_warn 表明该模块不应把警告信息发送给应用程序。
use_first_pass 表明该模块不能提示用户输入密码，而应使用前一个模块从用户那里得到的密码。
try_first_pass 表明该模块首先应当使用前一个模块从用户那里得到的密码，如果该密码验证不通过，再提示用户输入新的密码。
use_mapped_pass 该模块不能提示用户输入密码，而是使用映射过的密码。
expose_account 允许该模块显示用户的帐号名等信息，一般只能在安全的环境下使用，因为泄漏用户名会对安全造成一定程度的威胁。
2、使用配置目录 /etc/pam.d/（只适用于 RedHat Linux）
该目录下的每个文件的名字对应服务名，例如 ftp 服务对应文件 /etc/pam.d/ftp。如果名为 xxxx 的服务所对应的配置文件 /etc/pam.d/xxxx 不存 在，则该服务将使用默认的配置文件 /etc/pam.d/other。每个文件由如下格式的文本行所构成：
module-type control-flag module-path arguments
每个字段的含义和 /etc/pam.conf 中的相同。
由于公司使用的是 RedHat 的 Linux 故此我将使用 pam.d 这个配置目录。密码复杂度通过 /etc/pam.d/system-auth 这个文件来实现的故此我们先看一下默认有什么内容然后将这个文件备份一个：
在这个文件中我们会用到 pam_cracklib.so 这个模块。pam_cracklib.so 是一个常用并且非常重要的 PAM 模块。该模块主要的作用是对用户密码的强健性进行检测。即检查和限制用户自定义密码的长度、复杂度和历史等。如不满足上述强度的密码将拒绝使用。
pam_cracklib.so 比较重要和难于理解的是它的一些参数和计数方法，其常用参数包括：
debug：将调试信息写入日志；
type=xxx：当添加 / 修改密码时，系统给出的缺省提示符是“New UNIX password:”以及“Retype UNIX
password:”，而使用该参数可以自定义输入密码的提示符，比如指定 type=your own word；
retry=N：定义登录 / 修改密码失败时，可以重试的次数；
Difok=N：定义新密码中必须有几个字符要与旧密码不同。但是如果新密码中有 1 / 2 以上的字符与旧密码不同时，该新密码将被接受；
minlen=N：定义用户密码的最小长度；
dcredit=N：定义用户密码中必须包含多少个数字；
ucredit=N：定义用户密码中必须包含多少个大写字母；
lcredit=N：定义用户密码中必须包含多少个小些字母；
ocredit=N：定义用户密码中必须包含多少个特殊字符（除数字、字母之外）；
更多详情见请继续阅读下一页的精彩内容 ：http://www.linuxidc.com/Linux/2014-10/107852p2.htm
根据我的需要我将密码策略制定如下：必须包含至少一个小写字母、数字、特殊字符，密码长度至少 7 位，在 system-auth 文件增加如下内容，保存后退出：
（注）*credit=- 1 表示至少有一个的意思。
然后配置 login.defs，这个文件主要是配置密码有效期，其中的 PASS_MIN_LEN 这个参数在我们配置了上一个文件之后在这里是不起作用的。其他
PASS_MAX_DAYS 99999 #密码的最大有效期, 99999: 永久有期
PASS_MIN_DAYS 0 #是否可修改密码,0 可修改, 非 0 多少天后可修改
PASS_MIN_LEN 5 #密码最小长度, 使用 pam_cracklib module, 该参数不再有效
PASS_WARN_AGE 7 #密码失效前多少天在用户登录时通知用户修改密码
当设置完成这些之后我们可以去验证一下系统中已经存在的用户在设置密码的时候是否会强制验证密码复杂度，如下图所示如果不符合密码复杂度会提示错误信息：
如果符合了你的密码复杂度就可以正常设置密码了。
由于工作需要最近需要将公司的多台 Linux 服务器进行密码策略的设置，主要内容是增加密码复杂度。
操作步骤如下，不会的同学可以参考：
操作前需要掌握如下几个简单的知识点：（其实不掌握也行，不过学学没坏处）
PAM（Pluggable Authentication Modules）是由 Sun 提出的一种认证机制。它通过提供一些动态链接库和一套统一的 API，将系统提供的服务 和该服务的认证方式分开，使得系统管理员可以灵活地根据需要给不同的服务配置不同的认证方式而无需更改服务程序，同时也便于向系 统中添加新的认证手段。PAM 最初是集成在 Solaris 中，目前已移植到其它系统中，如 Linux、SunOS、HP-UX 9.0 等。
PAM 的配置是通过单个配置文件 /etc/pam.conf。RedHat 还支持另外一种配置方式，即通过配置目录 /etc/pam.d/，且这种的优先级要高于单 个配置文件的方式。
使用 PAM 集成 OpenLDAP 实现 Linux 统一管理系统用户 http://www.linuxidc.com/Linux/2014-08/105597.htm
FTP 服务器工作原理及如何通过 PAM 认证实现虚拟用户登录 http://www.linuxidc.com/Linux/2013-05/84984.htm
PAM 的配置过程 http://www.linuxidc.com/Linux/2012-12/76812.htm
基于 ssl/tls 实现 vsftpd 的安全通信并通过 PAM 实现对 vsftpd 的虚拟用户认证 http://www.linuxidc.com/Linux/2013-05/84475.htm
Linux 使用 PAM_ldap 通过 ad 域认证 http://www.linuxidc.com/Linux/2012-09/71043.htm
整合 vsftp+PAM+mysql—集中管理 ftp 的虚拟帐号 http://www.linuxidc.com/Linux/2012-08/68391.htm
vsftpd2.3.5+PAM 安装配置笔记 http://www.linuxidc.com/Linux/2012-07/66658.htm
1、使用配置文件 /etc/pam.conf
该文件是由如下的行所组成的：
service-name module-type control-flag module-path arguments
service-name 服务的名字，比如 telnet、login、ftp 等，服务名字“OTHER”代表所有没有在该文件中明确配置的其它服务。
module-type 模块类型有四种：auth、account、session、password，即对应 PAM 所支持的四种管理方式。同一个服务可以调用多个 PAM 模块进行认证，这些模块构成一个 stack。
control-flag 用来告诉 PAM 库该如何处理与该服务相关的 PAM 模块的成功或失败情况。它有四种可能的 值：required，requisite，sufficient，optional。
required 表示本模块必须返回成功才能通过认证，但是如果该模块返回失败的话，失败结果也不会立即通知用户，而是要等到同一 stack 中的所有模块全部执行完毕再将失败结果返回给应用程序。可以认为是一个必要条件。
requisite 与 required 类似，该模块必须返回成功才能通过认证，但是一旦该模块返回失败，将不再执行同一 stack 内的任何模块，而是直 接将控制权返回给应用程序。是一个必要条件。注：这种只有 RedHat 支持，Solaris 不支持。
sufficient 表明本模块返回成功已经足以通过身份认证的要求，不必再执行同一 stack 内的其它模块，但是如果本模块返回失败的话可以 忽略。可以认为是一个充分条件。
optional 表明本模块是可选的，它的成功与否一般不会对身份认证起关键作用，其返回值一般被忽略。
对于 control-flag，从 Linux-PAM-0.63 版本起，支持一种新的语法，具体可参看 LinuxPAM 文档。
module-path 用来指明本模块对应的程序文件的路径名，一般采用绝对路径，如果没有给出绝对路径，默认该文件在目录 /usr/lib/security 下面。
arguments 是用来传递给该模块的参数。一般来说每个模块的参数都不相同，可以由该模块的开发者自己定义，但是也有以下几个共同 的参数：
debug 该模块应当用 syslog() 将调试信息写入到系统日志文件中。
no_warn 表明该模块不应把警告信息发送给应用程序。
use_first_pass 表明该模块不能提示用户输入密码，而应使用前一个模块从用户那里得到的密码。
try_first_pass 表明该模块首先应当使用前一个模块从用户那里得到的密码，如果该密码验证不通过，再提示用户输入新的密码。
use_mapped_pass 该模块不能提示用户输入密码，而是使用映射过的密码。
expose_account 允许该模块显示用户的帐号名等信息，一般只能在安全的环境下使用，因为泄漏用户名会对安全造成一定程度的威胁。
2、使用配置目录 /etc/pam.d/（只适用于 RedHat Linux）
该目录下的每个文件的名字对应服务名，例如 ftp 服务对应文件 /etc/pam.d/ftp。如果名为 xxxx 的服务所对应的配置文件 /etc/pam.d/xxxx 不存 在，则该服务将使用默认的配置文件 /etc/pam.d/other。每个文件由如下格式的文本行所构成：
module-type control-flag module-path arguments
每个字段的含义和 /etc/pam.conf 中的相同。
由于公司使用的是 RedHat 的 Linux 故此我将使用 pam.d 这个配置目录。密码复杂度通过 /etc/pam.d/system-auth 这个文件来实现的故此我们先看一下默认有什么内容然后将这个文件备份一个：
在这个文件中我们会用到 pam_cracklib.so 这个模块。pam_cracklib.so 是一个常用并且非常重要的 PAM 模块。该模块主要的作用是对用户密码的强健性进行检测。即检查和限制用户自定义密码的长度、复杂度和历史等。如不满足上述强度的密码将拒绝使用。
pam_cracklib.so 比较重要和难于理解的是它的一些参数和计数方法，其常用参数包括：
debug：将调试信息写入日志；
type=xxx：当添加 / 修改密码时，系统给出的缺省提示符是“New UNIX password:”以及“Retype UNIX
password:”，而使用该参数可以自定义输入密码的提示符，比如指定 type=your own word；
retry=N：定义登录 / 修改密码失败时，可以重试的次数；
Difok=N：定义新密码中必须有几个字符要与旧密码不同。但是如果新密码中有 1 / 2 以上的字符与旧密码不同时，该新密码将被接受；
minlen=N：定义用户密码的最小长度；
dcredit=N：定义用户密码中必须包含多少个数字；
ucredit=N：定义用户密码中必须包含多少个大写字母；
lcredit=N：定义用户密码中必须包含多少个小些字母；
ocredit=N：定义用户密码中必须包含多少个特殊字符（除数字、字母之外）；
更多详情见请继续阅读下一页的精彩内容 ：http://www.linuxidc.com/Linux/2014-10/107852p2.htm
