安全加固65 条

登录失败锁定：pam_faillock

连续登录失败锁定账户：faillock.conf 配置 deny 与 unlock_time，PAM 栈在鉴权与账目阶段引用 pam_faillock；锁定与解锁用 faillock 命令查看与复位。

/etc/security/faillock.conf

deny = 5
unlock_time = 600
audit
silent

faillock --user someuser
faillock --user someuser --reset

修改 PAM 前备份 /etc/pam.d/ 相关文件；栈写错会影响全部登录（含 root 控制台），保留一个已登录会话再操作。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌