密码过期时阻止 RSA 身份验证

Question

我正在 CentOS 7 上设置 FreeIPA 服务器，并且我想在密码过期时阻止通过 SSH 进行的 RSA 身份验证。默认情况下，当我使用户密码过期并登录时，他们被迫更改密码。但是，如果同一用户也使用 RSA 身份验证，则服务器允许他们进入并且不会强制他们更改密码。我搜索了与 FreeIPA、PAM 和 SSH 相关的主题，但似乎找不到我正在寻找的答案。

当用户的密码过期时，有什么方法可以阻止通过 SSH 进行的 RSA 密钥身份验证？

Answer 1

您可能可以使用 chage 或 usermod 编写一个脚本，例如： usermod --expiredate ...如果必须的话，我会使用类似于以下伪代码的 shell 脚本：

if `chage -l user_account_you_want_expired_etc | awk '/expires/{print "relevant fields}'` >= expiration
then
usermod -s /sbin/nologin USERNAME
fi

沿着这些思路的东西（请注意，这是不起作用的，但可以给你一个框架。“如果到期（从awk中grep）大于或等于我想要/需要的任何东西，那么将shell更改为没有登录。”