登录策略文件的核查价值
login.defs 与 pwquality.conf 共同决定口令策略：最短长度、有效期、过期前警告天数、加密算法以及创建用户时的默认掩码。这些取值决定新建口令与改密动作的约束强度，整体放宽会削弱账号安全，收紧则可能影响业务人员的日常使用，因此它是账号安全评估的直接依据。需要注意策略只约束新建与改密，不影响已存在的口令，部分旧配置项在较新的发行版中已废弃，实际策略以 PAM 与 pwquality 为准。
基本信息
| 文件 | /etc/login.defs、/etc/security/pwquality.conf |
|---|---|
| 关键项 | PASS_MAX_DAYS、PASS_MIN_DAYS、PASS_WARN_AGE、PASS_MIN_LEN、ENCRYPT_METHOD、UMASK |
| 生效范围 | 新建用户与口令修改，既有口令不受影响 |
| 单账号查看 | chage -l <用户名> |
典型使用场景
- 评估主机口令策略是否符合内部合规要求
- 排查策略被放宽的具体时间点与改动内容
- 核对新建用户的默认有效期与掩码是否合理
- 对比策略文件修改时间与人员变更记录
- 为账号治理整改提供现状基线
核查策略
核查策略
grep -E '^(PASS_MAX_DAYS|PASS_MIN_DAYS|PASS_WARN_AGE|PASS_MIN_LEN|ENCRYPT_METHOD|UMASK)' /etc/login.defs
grep -vE '^\s*#|^\s*$' /etc/security/pwquality.conf | head # 有效配置项
chage -l alice # 查看单个账号的实际有效期策略
stat -c '%n %y' /etc/login.defs /etc/security/pwquality.conf # 修改时间
ls -l /etc/pam.d/system-auth /etc/pam.d/common-password 2>/dev/null # 确认策略实际挂在哪个文件关键项读法
| 配置项 | 含义 | 判读要点 |
|---|---|---|
| PASS_MAX_DAYS | 口令最长有效期（天） | 过大值意味着口令长期不变 |
| PASS_MIN_LEN | 口令最短长度 | 部分发行版已废弃，以 PAM 为准 |
| ENCRYPT_METHOD | 口令哈希算法 | 过时算法需要更新 |
| UMASK | 新建文件默认权限掩码 | 022 与 027 影响新用户文件可见范围 |
策略变更通常伴随合规或安全整改，出现改动时应先与变更单、整改工单对照，再判断是否属于异常操作。
login.defs 只提供默认值，具体账号的最终策略由 chage 记录与 PAM 模块共同决定，评估单个账号时要直接查看该账号的字段而不是套用全局默认。
收紧口令长度与有效期策略会让用户在下一次改密时被强制约束，整改窗口要与业务沟通，避免集中改密导致服务账号登录失败。