密码安全升级后用户无法使用crontab

Question

我有一台从 CentOS 5 升级到 CentOS 6 的机器。在原来的服务器上，所有用户都有 MD5 密码。升级后的服务器现在使用 SHA-512 密码。

/etc/shadow升级后修改过密码并且有SHA-512密码的crontab用户可以成功使用，但是没有修改过密码的用户仍然有旧的MD5密码就不能使用了crontab。他们收到的错误消息是：

Authentication service cannot retrieve authentication info
You (_username_) are not allowed to access to (crontab) because of pam configuration.

我已经看过/etc/pam.d/system-auth（你也可以），但我不确定如何调整以允许尚未更改密码的用户访问 crontab。

我很清楚我可以强制每个人使用 更改他们的密码chage -d 0，更改密码的用户将重新获得对 crontab 的访问权限（以及其他任何可能被破坏的内容），但我有一些用户需要在他们之前编辑他们的 crontab下次登录，并crontab -e -u _username_以 root身份使用也失败，并出现与上述完全相同的错误。

奇怪的是，这个问题没有出现在我的开发箱上；在部署之前，我在暂存箱上遇到了这个问题。使用旧 MD5 密码的开发箱上的用户可以很好地访问 crontab，并且/etc/pam.d/system-auth是相同的。除了 IP 地址之外，dev 和 staging 框应该是相同的。我怀疑我错过了一些非常明显和愚蠢的东西......

所以我的问题是，如何为尚未更改密码且已进行 SHA-512 哈希处理的用户启用对 crontab 的访问？或者，我该如何解决这个问题？

Answer 1

在发布问题后，我设法解决了这个问题。

事实证明，/etc/shadow受影响的 MD5 密码用户的条目在散列密码复制后以某种方式具有该字段，导致 PAM 无法解释该行。换句话说，一个糟糕的剪切和粘贴工作。

我的咖啡还没喝够...