如何用 PAM 模塊加強 Linux 密碼復雜度？一文搞定！
在現代企業的生產環境中，信息安全是重中之重。密碼作為身份驗證的重要手段，其安全性直接關系到系統的整體防護能力。一個簡單的密碼可能是黑客攻破系統的敲門磚，帶來無法估量的風險。因此，許多公司在操作系統中配置了強密碼策略，以確保每一個用戶密碼都能抵擋住外部的攻擊。
那么，如何有效地管理這些密碼復雜度要求呢？
在不同的Linux發行版中，配置密碼復雜度的方式有所不同。通常，密碼復雜度的管理是通過PAM來實現的。
Red Hat/CentOS/Fedora系列
在Red Hat Enterprise Linux``CentOS和Fedora等發行版中，密碼復雜度的配置主要通過PAM（Pluggable Authentication Modules，可插拔認證模塊）中的pam_pwquality.so模塊來實現。具體操作方法如下：
簡單來說，你需要對系統認證文件進行編輯：
打開終端，輸入以下命令進入配置文件編輯界面：
vim /etc/pam.d/system-auth執行上述文件后，該文件內容如下圖所示：
在該文件中，找到并修改與密碼質量相關的配置項，即可實現密碼復雜度的設置。
Debian/Ubuntu系列
對于Debian和Ubuntu等發行版，密碼復雜度的配置同樣使用pam_pwquality.so模塊，但配置文件位置有所不同。你需要編輯的是：
sudo nano /etc/pam.d/common-password在這里，你可以根據需要調整密碼策略參數，確保密碼符合安全標準。
注意：在使用該功能之前先要確定系統是否安裝了該模塊。
配置項說明
password requisite pam_pwquality.so minlen=8 ucredit=-2 lcredit=-1 dcredit=-4 ocredit=-1password 表示這個PAM模塊是用于密碼驗證的。
requisite 是PAM模塊的控制標志之一，它表示如果這個模塊驗證失敗，接下來的驗證流程會被中斷，用戶將無法繼續登錄或執行相關操作。password requisite pam_pwquality.so后面添加或修改相關配置就可以了。具體的參數設置，可以參考以下信息：
在大型企業或組織中，單個用戶密碼的管理可能沒有太大挑戰，但當面臨大量用戶時，如何批量配置密碼復雜度并確保其符合安全要求就成了一個難題。那么，如何有效地進行批量管理？
通過腳本批量修改PAM配置
為了實現密碼策略的高效管理，可以開發一個Shell腳本，利用sed或awk等工具對多個配置文件進行自動化批量更新。這樣不僅能夠顯著提升工作效率，還能確保密碼策略在各個系統組件中保持一致性和標準化管理。
以下是一個用于配置密碼復雜度的Shell腳本示例：
update_pam_pwquality() {
# 配置項
minlen="minlen=8"
ucredit="ucredit=-2"
lcredit="lcredit=-1"
dcredit="dcredit=-4"
ocredit="ocredit=-1"
# 判斷 Linux 發行版并設置 PAM 配置文件路徑
if [ -f /etc/os-release ]; then
# 獲取發行版名稱
source /etc/os-release
DISTRO_NAME=$ID
# 根據發行版選擇正確的 PAM 配置文件
case"$DISTRO_NAME"in
"centos"|"rhel"|"fedora")
PAM_FILE="/etc/pam.d/system-auth"
PACKAGE="libpwquality"
PKG_MGR="yum"
;;
"ubuntu"|"debian")
PAM_FILE="/etc/pam.d/common-password"
PACKAGE="libpam-pwquality"
PKG_MGR="apt-get"
;;
"arch"|"manjaro")
PAM_FILE="/etc/pam.d/system-auth"
PACKAGE="libpwquality"
PKG_MGR="pacman"
;;
"opensuse")
PAM_FILE="/etc/pam.d/common-password"
PACKAGE="libpwquality"
PKG_MGR="zypper"
;;
*)
echo"Unsupported distribution: $DISTRO_NAME"
exit 1
;;
esac
else
echo"無法識別發行版，無法確定 PAM 配置文件路徑"
exit 1
fi
# 檢查并安裝 pam_pwquality 模塊
if ! rpm -q "$PACKAGE" >/dev/null 2>&1 && ! dpkg -l "$PACKAGE" >/dev/null 2>&1; then
echo"正在安裝 $PACKAGE..."
if ! sudo $PKG_MGR install -y "$PACKAGE"; then
echo"安裝 $PACKAGE 失敗，請手動安裝后重試"
exit 1
fi
fi
# 備份原始 PAM 配置文件
BACKUP_FILE="$PAM_FILE.$(date +%Y%m%d%H%M%S)"
cp -p "$PAM_FILE""$BACKUP_FILE"
echo"配置文件已備份到 $BACKUP_FILE"
# 定位到包含 "password.*pam_pwquality.so" 的行
line_number=$(grep -n "^password.*pam_pwquality.so""$PAM_FILE" | cut -d: -f1)
if [[ -n "$line_number" ]]; then
# 獲取當前行內容
current_line=$(sed -n "${line_number}p""$PAM_FILE")
# 檢查并更新 minlen
if [[ "$current_line" =~ minlen=([0-9]+) ]]; then
current_minlen="${BASH_REMATCH[1]}"
if [[ "$current_minlen" != "8" ]]; then
# 更新 minlen 為 8
current_line=$(echo"$current_line" | sed "s/minlen=$current_minlen/minlen=8/")
echo"更新 minlen minlen to 8."
fi
else
# 添加 minlen 配置
current_line="$current_line $minlen"
echo"添加 minlen=8."
fi
# 檢查并更新 ucredit
if [[ "$current_line" =~ ucredit=(-?[0-9]+) ]]; then
current_ucredit="${BASH_REMATCH[1]}"
if [[ "$current_ucredit" != "-2" ]]; then
# 更新 ucredit 為 -2
current_line=$(echo"$current_line" | sed "s/ucredit=$current_ucredit/ucredit=-2/")
echo"更新 ucredit to -2."
fi
else
# 添加 ucredit 配置
current_line="$current_line $ucredit"
echo"添加 ucredit=-2."
fi
# 檢查并更新 lcredit
if [[ "$current_line" =~ lcredit=(-?[0-9]+) ]]; then
current_lcredit="${BASH_REMATCH[1]}"
if [[ "$current_lcredit" != "-1" ]]; then
# 更新 lcredit 為 -1
current_line=$(echo"$current_line" | sed "s/lcredit=$current_lcredit/lcredit=-1/")
echo"更新 lcredit to -1."
fi
else
# 添加 lcredit 配置
current_line="$current_line $lcredit"
echo"添加 lcredit=-1."
fi
# 檢查并更新 dcredit
if [[ "$current_line" =~ dcredit=(-?[0-9]+) ]]; then
current_dcredit="${BASH_REMATCH[1]}"
if [[ "$current_dcredit" != "-4" ]]; then
# 更新 dcredit 為 -4
current_line=$(echo"$current_line" | sed "s/dcredit=$current_dcredit/dcredit=-4/")
echo"更新 dcredit to -4."
fi
else
# 添加 dcredit 配置
current_line="$current_line $dcredit"
echo"添加 dcredit=-4."
fi
# 檢查并更新 ocredit
if [[ "$current_line" =~ ocredit=(-?[0-9]+) ]]; then
current_ocredit="${BASH_REMATCH[1]}"
if [[ "$current_ocredit" != "-1" ]]; then
# 更新 ocredit 為 -1
current_line=$(echo"$current_line" | sed "s/ocredit=$current_ocredit/ocredit=-1/")
echo"更新 ocredit to -1."
fi
else
# 添加 ocredit 配置
current_line="$current_line $ocredit"
echo"添加 ocredit=-1."
fi
# 用修改后的行替換原文件中的行
sed -i "${line_number}s|.*|$current_line|""$PAM_FILE"
echo"Line updated in $PAM_FILE."
else
echo"password requisite pam_pwquality.so minlen=8 ucredit=-2 lcredit=-1 dcredit=-4 ocredit=-1" >> "$PAM_FILE"
echo"密碼復雜度-未符合要求-已配置"
fi
}
