当用户没有密码时，有没有办法防止密码过期？

Question

好吧，我们都关心安全，所以用户应该定期更改他们的密码（谁说密码就像内衣？）。

在 redhat 和 centos（5.x 和 6.x）上，可以让每个真实用户密码在 45 天后过期，并在 7 天前警告他们。

/etc/shadow 条目看起来像：

testuser:$6$m8VQ7BWU$b3UBovxC5b9p2UxLxyT0QKKgG1RoOHoap2CV7HviDJ03AUvcFTqB.yiV4Dn7Rj6LgCBsJ1.obQpaLVCx5.Sx90:15588:1:45:7:::

它运行良好，大多数用户经常更改他们的密码。

一些用户发现不使用任何密码而是使用 ssh 公钥很方便（我想鼓励他们）。

然后 45 天后，他们无法登录，因为他们忘记了密码并被要求更改密码。

当且仅当密码被禁用时，有没有办法防止密码过期？

testuser:!!:15588:1:45:7:::/etc/shadow 中的设置不起作用：testuser 被要求在 45 天后更改他的密码。

当然，将密码过期时间设置为 99999 天是可行的，但是：

• 它需要额外的工作。
• 安全审计员可能不高兴。

是否有一个系统范围的参数会提示用户仅在他确实拥有密码时才更改过期密码？

Answer 1

如果用户不记得他们的密码，那肯定是因为他们不需要使用它们。我建议使用集中式身份验证系统，例如 LDAP，这样每个用户只有一个密码，可以访问所有内容。

这解决了几个问题：

• 您不必担心管理每个主机上的单独密码
• 用户实际上会记住他们的密码，因为他们需要它们
• 您可以在一个中心位置（LDAP 目录）管理密码策略，并让用户在需要时更改密码（想象一下几天前警告他们密码过期的电子邮件，等等......）
• 您拥有集中式用户管理，当需要创建新帐户或需要禁用旧帐户时，可以节省每个人的时间（谁从未听说过“在所有系统上尽快禁用该用户的帐户”？）