/etc/login.defs用于设置密码策略及用户id分配规则。pass_max_days设密码最长使用天数，如90；pass_min_days限制最短修改间隔，如1天；pass_warn_age提前提醒天数，如7天。密码复杂度需通过pam模块配置，如minlen=10、ucredit=-1等。用户id分配通过uid_min和uid_max定义范围，如1000-60000，gid同理。其他选项包括create_home控制家目录创建，usergroups_enab启用私有组，mail_dir指定邮件路径。
在Linux系统中，设置用户密码策略是保障系统安全的重要一步。/etc/login.defs 文件是控制用户账户默认行为的核心配置文件之一，尤其在密码过期、最小长度、UID范围等方面起着关键作用。
下面我们就来看看如何通过 /etc/login.defs 来设置常见的密码策略。
密码过期时间设置：合理控制更新频率
为了防止长期不更换密码带来的安全隐患，可以通过以下参数来控制密码的有效期：
PASS_MAX_DAYS：密码最长使用天数，比如设置为 99999 表示几乎不过期，建议设为 90 左右。PASS_MIN_DAYS：两次修改密码之间的最短天数，用于防止用户频繁更改密码绕过策略。PASS_WARN_AGE：密码到期前多少天开始提醒用户修改，通常设为 7 天比较合适。
举个例子，如果你设置了：
PASS_MAX_DAYS 60PASS_MIN_DAYS 1PASS_WARN_AGE 5
那么用户的密码每60天必须更新一次，每天可以改一次以上，并且提前5天就会收到提醒。
密码复杂度虽然不在login.defs中，但别忘了PAM模块
需要注意的是，密码复杂度（如必须包含大小写、数字等）并不由 /etc/login.defs 控制，而是通过 PAM 模块（如 /etc/pam.d/common-password 或 /etc/pam.d/system-auth）实现。
琅琅配音
全能AI配音神器
208 查看详情 
比如，在 Ubuntu 上你可以编辑 /etc/pam.d/common-password 添加或修改这一行：
password requisite pam_pwquality.so retry=3 minlen=10 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1
这样就要求密码至少10位，并且必须包含大小写字母、数字和特殊字符。
所以 /etc/login.defs 主要处理的是密码生命周期的问题，而复杂度需要配合 PAM 设置。
用户ID和组ID分配规则：避免权限混乱
除了密码相关设置，/etc/login.defs 还定义了新用户创建时的 UID/GID 范围：
UID_MIN 和 UID_MAX：指定普通用户的 UID 起始和结束范围，例如：
UID_MIN 1000UID_MAX 60000
GID_MIN 和 GID_MAX：同理，用于组 ID 的范围。
这些设置有助于统一管理多台服务器上的用户账号，避免不同机器上相同用户名对应不同 UID 的问题，尤其是在使用 NFS 或 LDAP 等共享环境时尤为重要。
另外还有几个常见选项也值得关注：
CREATE_HOME：是否为新用户自动创建家目录，默认为 yes。USERGROUPS_ENAB：是否为每个新用户创建同名私有组，默认为 yes。MAIL_DIR：指定用户邮件存放路径，默认是 /var/mail。
基本上就这些。
虽然 /etc/login.defs 不负责密码复杂性，但它是整个用户管理和密码策略的基础配置之一。理解并正确配置它，能有效提升系统的安全性与一致性。
以上就是Linux如何设置用户密码策略？/etc/login.defs配置说明的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/478289.html
微信扫一扫 
支付宝扫一扫 
