奶奶常说账号安全控制与PAM认证模块及sudo授权命令学不会不许睡觉（一）

引言

一.账号安全基本措施

1.系统账号清理

①将非登录用户的Shell设为/sbin/nologin

usermod -s /sbin/nologin 用户名

②锁定长期不使用的账号

usermod -L 用户名           锁定用户账户  
passwd -l 用户名            锁定用户密码
passwd -S 用户名            查看用户状态

③删除无用的账号

userdel -r 用户名           删除用户及其宿主目录   

④清空一个账号密码

passwd -d 用户名            清空账户密码

⑤锁定账号文件passwd、shadow

chattr +i /etc/passwd /etc/shadow      锁定文件
lsattr /etc/passwd /etc/shadow         查看文件状态
chattr -i /etc/passwd /etc/shadow      解锁文件

得出结论，由于/etc/passwd和/etc/shadow都存放的用户账号信息，所以两个缺一不可，少一个都无法创建用户与更改密码

2.密码安全控制

chage -M 日期 用户               设置用户密码有效期
chage -E xxxx-xx-xx             设置过期日期

①chage -M适用于已有用户

②设置密码有效期

要求用户下次登陆时修改密码
适用于新建用户:
vi /etc/login.defs

vi /etc/login.defs     修改密码配置文件适用于新建用户
……
PASS_MAX_DAYS 30
[root@localhost ~]# chage -M 30 用户
[root@localhost ~]# cat /etc/shadow | grep 用户

③强制下次登陆更换密码

chage -d 0 用户                    强制在下次登陆时更改密码               
cat /etc/shadow | grep 用户        shadow文件中的第三个字段被修改为0

3.命令历史限制

①减少记录的命令条数
/etc/profile这个文件是系统全局变量配置文件，可以通过重启系统或者执行source /etc/profile命令使文件被读取重载。
②登陆时自动清空历史命令
~/.bashrc文件中的命令会在每次打开新的bash shell时（也包括登录系统）被执行

4.终端自动注销

vi /etc/profile： 编辑全局变量配置文件
export TMOUT=360： 输出timeout=360
闲置360秒后自动注销：