TurboLinux11命令行配置 » 口令老化

为安全起见，要求用户定期改变他们的口令是明智之举。这可以在用户管理器的“口令信息”活页标签上添加或编辑用户时做到。 要从 shell 提示下为用户配置口令过期，使用 chage 命令，随后使用下面的选项，以及用户的用户名。

-m days 指定用户必须改变口令所间隔的最少天数。如果值为 0,，口令就不会过期。

-M days 指定口令有效的最多天数。当该选项指定的天数加上 -d 选项指定的天数小于当前的日期，用户在使用该账号前就必须改变口令。

-d days 指定自从1970年1月1日起，口令被改变的天数。

-I days 指定口令过期后，账号被锁前不活跃的天数。如果值为0，账号在口令过期后就不会被锁。

-E date 指定账号被锁的日期，日期格式为 YYYY-MM-DD。若不用日期，也可以使用自1970年1月1日后经过的天数。

-W days 指定口令过期前要警告用户的天数。

如果系统管理员想让用户在首次登录时设置口令，用户的初始口令或空口令可以被设置为立即过期，从而强制用户在首次登录后立即改变它。 要强制用户在首次登录到控制台时配置口令，请遵循以下步骤。注意，若用户使用 SSH 协议来登录，这个过程就行不通。

• 锁住用户的口令 — 如果用户不存在，使用 useradd 命令来创建这个用户账号，但是不要给它任何口令，所以它仍旧被锁。

如果口令已经被启用，使用下面的命令来锁住它：

usermod -L username

• 强制即刻口令过期 — 键入下面的命令：

chage -d 0 username

该命令把口令最后一次改变的日期设置为 epoch（1970年1月1日）。不管口令过期策略是否存在，这个值会强制口令立即过期。

• 给账号开锁 — 达到这一目的有两种常用方法。管理员可以指派一个初始口令或空口令。

要指派初始口令，遵循以下步骤：

• 使用 python 命令来启动命令行 python 解释器。它的显示如下：

Python 2.3.4 (#1, Apr 28 2005, 09:54:59) 
[GCC 3.4.3 20041212 (TurboLinux 3.4.3-9.2)] on linux2
Type "help", "copyright", "credits" or "license" for more information.
>>>

• 在提示下，键入以下命令（把 password 替换成要加密的口令，把 salt 替换成恰巧两个大写或小写字母、数字、点字符或斜线字符，譬如 + ab 或 + 12）：

import crypt; print crypt.crypt("password","salt")

其输出的加密口令类似于 12CsGd8FRcMSM。 * 键入 [Ctrl]-[D] 来退出 Python 解释器。

• 把加密口令的输出剪贴到以下命令中（不带前后的空格）：

usermod -p "encrypted-password" username

与其指派初始口令，你还可以使用以下命令来指派空口令：

usermod -p "" username

无论是哪一种情况，首次登录后，用户都会被提示输入新口令。