Linux：如何為新帳戶配置默認密碼時效設置

如果您正在管理 Linux 系統，您可能需要執行的任務之一是管理用戶帳戶的設置密碼。作為此過程的一部分，您可能需要管理現有帳戶和新帳戶的設置。

管理現有帳戶的密碼設置是通過“passwd”命令完成的，儘管還有其他選擇。您可以為將來創建的帳戶設置默認設置，但無需手動更改每個新帳戶的默認設置。

這些設置在配置文件“/etc/login.defs”中配置。由於該文件位於“/etc”目錄中，因此需要 root 權限才能進行編輯。為避免您進行更改而無法保存的任何問題，因為您沒有權限，請確保使用 sudo 啟動您首選的文本編輯器。

您需要的部分位於文件中間附近，標題為“密碼時效控制”。其中包含三個設置，“PASS_MAX_DAYS”、“PASS_MIN_DAYS”和“PASS_WARN_AGE”。這些分別用於設置密碼在需要重置之前的有效天數，一個密碼更改後多久可以更改另一個密碼，以及用戶在密碼過期前收到警告的天數。

密碼老化控制的默認值可以在文件“/etc/login.defs”中找到和配置。

“PASS_MAX_DAYS”默認為 99999，用於表示密碼不應自動過期。“PASS_MIN_DAYS”默認為 0，這意味著用戶可以隨意更改密碼。

提示：密碼使用期限的最低限制通常與密碼歷史記錄機制相結合，以防止用戶更改密碼，然後立即將其改回原來的狀態。

“PASS_WARN_AGE”默認為 7 天。僅當用戶的密碼實際配置為過期時才使用此值。

如何為新帳戶配置默認密碼時效設置

如果您想配置這些值，以便密碼每 90 天自動過期一次，應用最小年齡為 1 天，並在用戶過期前 14 天收到警告，您應該設置值“90”、“1”和“分別為 14”。完成所需的更改後，保存文件。默認情況下，更新文件後創建的任何新帳戶都將應用您配置的設置。

值分別為“90”、“1”和“14”，將密碼配置為每 90 天自動過期，每天最多更改一次，並在密碼過期前 14 天警告用戶需要更改密碼。

注意：除非策略強制要求，否則應避免將密碼配置為隨時間自動過期。NCSC、NIST 和更廣泛的網絡安全社區現在建議，只有在合理懷疑密碼已被洩露時，密碼才會過期。這是由於研究表明，定期強制重置密碼會積極推動用戶選擇更容易猜測的更弱、更公式化的密碼。當用戶不必定期創建和記住新密碼時，他們更擅長創建更長、更複雜且通常更強大的密碼。