整改实操：登录失败锁定（pam_faillock）

用 faillock 实现登录失败处理：失败次数、统计窗口与解锁时间可配置，满足鉴别信息防暴力猜测要求。

faillock 配置

# /etc/security/faillock.conf
deny = 5
fail_interval = 900
unlock_time = 600
audit
dir = /var/run/faillock

authselect enable-feature with-faillock   # RHEL 8+
faillock --user ops        # 查看失败计数
faillock --user ops --reset

处理 PAM 配置前备份 /etc/pam.d；配置错误可能影响全部登录，先在测试环境验证。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌